Ethereum客户端Teku和Besu已推出**版本，针对一个可能被用于劫持验证者奖励的严重证书漏洞进行修复。该问题源于印度数字证书机构eMudhra所管理的多个中间CA密钥存在加密缺陷，使攻击者可生成**证书。

漏洞成因：受损证书链引发信任危机

研究发现，eMudhra旗下八个中间证书颁发机构使用的私钥生成过程缺乏足够随机性，导致其私钥可通过**息逆向推导。微软于10月26日确认，其中六个证书涉及网络连接保护，另两个用于代码签名。

eMudhra已于10月18日撤销相关证书，微软随后在10月20日通过Windows系统更新屏蔽了受影响的证书颁发机构，并于10月26日进一步从信任列表中移除七个关联证书。

为何影响Ethereum节点？

尽管证书已被吊销，但Teku与Besu基于Java运行时，而Java默认不检查证书吊销状态，因此仍可能接受**证书。这使得依赖外部服务通信的验证者面临潜在风险。

攻击者若能拦截验证者与外部服务之间的HTTPS连接，并提供合法外观的**证书，便可能诱导节点误信攻击者为可信服务，进而操纵区块提议或窃取签名权限。

攻击场景与潜在后果

Teku公告指出，主要风险点包括远程信标节点、外部签名服务、执行客户端、区块构建者及中继等组件。例如，攻击者可伪装成信标节点，引导验证者提交含恶意交易费分配的区块。

在外部签名服务场景中，若配置不足，攻击者甚至可能获取用于退出验证者的签名，从而威胁资产安全。不过，采用相互TLS认证的配置可将影响限制在服务拒绝层面。

修复措施与用户行动指南

Teku于10月27日发布26.10.3版本，移除了emSign ECC Root CA G3、emSign Root CA G1、emSign Root CA G2及**A Certificate Services四个受信任根证书。Besu则在10月26日推出的26.10.2版本中完成相同操作。

值得注意的是，这些更新仅适用于使用Docker镜像部署的用户。独立安装的Java环境不会自动同步补丁，操作人员需手动检查并更新本地证书库。

此外，Teku提醒，仍在使用Java 26的用户应尽快迁移至Java 25，因为前者已进入生命周期终点，不再接收安全补丁。

近期基础设施安全事件频发

此次漏洞修复并非孤立事件。本月早些时候，MetaMask宣布退出部分受同一类基础设施问题影响的验证者。此前，研究人员也揭露了一处验证者存款漏洞，可能导致构建者账户意外获得本应归属验证者的ETH。

与此同时，Glamsterdam升级因涉及EIP-8037智能合约兼容性问题而推迟。原定于10月26日激活的Amsterdam执行变更、Gloas共识更新及Hoodi测试网燃气上限提升计划均被取消，具体新激活时间尚未公布。