#btc
Las claves privadas de 8 autoridades de certificación intermedias eran tan débiles que podían calcularse directamente a partir de certificados públicos
Los navegadores incluyeron estos certificados en su lista negra, pero algunos clientes de Ethereum siguieron confiando en ellos
📣 盘面异动群里喊
El 17 de octubre, investigadores de seguridad descubrieron esta falla en la generación de números aleatorios de la autoridad de certificación india eMudhra
El problema estaba en la generación de las claves: la aleatoriedad era insuficiente y la clave privada equivalía a la mitad de un valor público
Quien obtuviera estas 8 claves privadas podía emitir un certificado que el software sin actualizar consideraría legítimo
Los fabricantes de navegadores actuaron primero. Un día después, eMudhra revocó estos certificados intermedios y anunció su salida del negocio de certificados
El verdadero problema está en Java
Por defecto, Java no comprueba si se han revocado los certificados
Por eso, las imágenes Docker de Teku, incluso después de que los navegadores incluyeran esos certificados en su lista negra, seguían confiando en ellos
Teku publicó una nueva versión el martes y Besu, el lunes. Ambos eliminaron eMudhra de su lista de confianza 🔐
La ruta de ataque no es larga
Un nodo capaz de situarse entre un validador y el servicio al que intenta conectarse puede hacerse pasar por ese servicio
El validador engañado podría proponer un bloque y enviar las comisiones a la dirección del atacante
Aún más preocupantes son los servicios externos de firma falsos: tienen permisos de firma para cambiar la dirección que recibe las recompensas 💥
Teku clasificó este caso como el de mayor riesgo
Hay que aclarar que los nodos de Teku de la red principal con la configuración predeterminada no se ven afectados y no necesitan hacer nada
Por ahora no hay informes de explotación real. El problema fue descubierto inicialmente por Consensys Diligence
Pero quienes ejecutan clientes directamente en sus propios equipos sí tienen trabajo por hacer
Actualizar el software de Ethereum no basta: la lista de confianza de Java no se actualiza por sí sola
Las nuevas imágenes Docker tampoco pueden corregir el Java del sistema anfitrión
Quienes todavía usan Java 26 tienen un problema mayor: esa versión ya no recibe mantenimiento ni parches, así que la única opción es actualizar a Java 25 ⚠️
Mi conclusión es que lo que quedó expuesto esta vez no fue la capa de consenso de Ethereum, sino la antigua infraestructura de Internet que lleva más de veinte años bajo sus pies
Autoridades de certificación, números aleatorios, comportamiento predeterminado de Java
Si cualquier eslabón falla, por muy sólida que sea la cadena, se puede sortear por otro lado 🦖
Los tenedores comunes no tienen por qué preocuparse por esto
Para quienes hacen staking y ejecutan sus propios nodos, es un recordatorio: ¿quién mantiene realmente tu lista de confianza?
El precio actual de ETH ronda los 2309 dólares, con una caída del 2 % en un día. BTC ronda los 79830 dólares, con una caída del 1,41 % en un día
El mercado está a la baja. A corto plazo, no se reflejará en los precios la corrección de este tipo de infraestructura, pero tarde o temprano sí
Cuéntame en los comentarios: ¿conoces a alguien que ejecute su propio nodo? ¿Cuándo actualizó Java por última vez?
Cada día te mantenemos al tanto de las noticias más relevantes sobre seguridad cripto. No solo te contamos qué pasó, sino que también te ayudamos a entender la lógica y las oportunidades que hay detrás 👀🚀
Las claves privadas de 8 autoridades de certificación intermedias eran tan débiles que podían calcularse directamente a partir de certificados públicos
Los navegadores incluyeron estos certificados en su lista negra, pero algunos clientes de Ethereum siguieron confiando en ellos
📣 盘面异动群里喊
El 17 de octubre, investigadores de seguridad descubrieron esta falla en la generación de números aleatorios de la autoridad de certificación india eMudhra
El problema estaba en la generación de las claves: la aleatoriedad era insuficiente y la clave privada equivalía a la mitad de un valor público
Quien obtuviera estas 8 claves privadas podía emitir un certificado que el software sin actualizar consideraría legítimo
Los fabricantes de navegadores actuaron primero. Un día después, eMudhra revocó estos certificados intermedios y anunció su salida del negocio de certificados
El verdadero problema está en Java
Por defecto, Java no comprueba si se han revocado los certificados
Por eso, las imágenes Docker de Teku, incluso después de que los navegadores incluyeran esos certificados en su lista negra, seguían confiando en ellos
Teku publicó una nueva versión el martes y Besu, el lunes. Ambos eliminaron eMudhra de su lista de confianza 🔐
La ruta de ataque no es larga
Un nodo capaz de situarse entre un validador y el servicio al que intenta conectarse puede hacerse pasar por ese servicio
El validador engañado podría proponer un bloque y enviar las comisiones a la dirección del atacante
Aún más preocupantes son los servicios externos de firma falsos: tienen permisos de firma para cambiar la dirección que recibe las recompensas 💥
Teku clasificó este caso como el de mayor riesgo
Hay que aclarar que los nodos de Teku de la red principal con la configuración predeterminada no se ven afectados y no necesitan hacer nada
Por ahora no hay informes de explotación real. El problema fue descubierto inicialmente por Consensys Diligence
Pero quienes ejecutan clientes directamente en sus propios equipos sí tienen trabajo por hacer
Actualizar el software de Ethereum no basta: la lista de confianza de Java no se actualiza por sí sola
Las nuevas imágenes Docker tampoco pueden corregir el Java del sistema anfitrión
Quienes todavía usan Java 26 tienen un problema mayor: esa versión ya no recibe mantenimiento ni parches, así que la única opción es actualizar a Java 25 ⚠️
Mi conclusión es que lo que quedó expuesto esta vez no fue la capa de consenso de Ethereum, sino la antigua infraestructura de Internet que lleva más de veinte años bajo sus pies
Autoridades de certificación, números aleatorios, comportamiento predeterminado de Java
Si cualquier eslabón falla, por muy sólida que sea la cadena, se puede sortear por otro lado 🦖
Los tenedores comunes no tienen por qué preocuparse por esto
Para quienes hacen staking y ejecutan sus propios nodos, es un recordatorio: ¿quién mantiene realmente tu lista de confianza?
El precio actual de ETH ronda los 2309 dólares, con una caída del 2 % en un día. BTC ronda los 79830 dólares, con una caída del 1,41 % en un día
El mercado está a la baja. A corto plazo, no se reflejará en los precios la corrección de este tipo de infraestructura, pero tarde o temprano sí
Cuéntame en los comentarios: ¿conoces a alguien que ejecute su propio nodo? ¿Cuándo actualizó Java por última vez?
Cada día te mantenemos al tanto de las noticias más relevantes sobre seguridad cripto. No solo te contamos qué pasó, sino que también te ayudamos a entender la lógica y las oportunidades que hay detrás 👀🚀