#btc
As chaves privadas de 8 autoridades certificadoras intermediárias eram tão fracas que podiam ser calculadas diretamente a partir de certificados públicos
Os navegadores bloquearam esses certificados, mas alguns clientes Ethereum continuaram a confiar neles
📣 盘面异动群里喊
Em 17 de outubro, pesquisadores de segurança descobriram essa falha no gerador de números aleatórios da autoridade certificadora indiana eMudhra
O problema estava na geração das chaves: a aleatoriedade era insuficiente, e a chave privada acabava sendo metade de um valor público
Quem obtivesse essas 8 chaves privadas poderia assinar um certificado que softwares sem correções aceitariam como legítimo
Os fabricantes de navegadores agiram primeiro. Um dia depois, a eMudhra revogou esses certificados intermediários e anunciou que deixaria o negócio de certificação
O verdadeiro problema está no Java
Por padrão, o Java não verifica se um certificado foi revogado
Por isso, as imagens Docker pré-configuradas do Teku continuaram confiando nesses certificados mesmo depois de os navegadores os bloquearem
Na terça-feira, o Teku lançou uma nova versão; na segunda, foi a vez do Besu. Ambos removeram a eMudhra da lista de confiança 🔐
O caminho do ataque é curto
Um nó capaz de se posicionar entre um validador e o serviço ao qual ele quer se conectar pode se passar por esse serviço
Um validador enganado pode propor um bloco e enviar as taxas para o endereço do atacante
Mais preocupante ainda é um serviço externo de assinatura falso, que tem permissão para assinar alterações no endereço que recebe as recompensas 💥
O Teku classificou esse cenário como de risco máximo
É importante esclarecer: nós Teku da mainnet com a configuração padrão não são afetados e não precisam fazer nada
Até agora, não há relatos de exploração real. A falha foi relatada inicialmente pela Consensys Diligence
Mas quem executa clientes por conta própria tem trabalho a fazer
Atualizar apenas o software Ethereum não basta: a lista de confiança do Java não muda junto
Uma nova imagem Docker também não corrige o Java instalado na máquina host
Quem ainda está no Java 26 tem um problema maior: essa versão já não recebe manutenção nem correções. A única opção é atualizar para o Java 25 ⚠️
Na minha opinião, o que ficou exposto desta vez não foi a camada de consenso do Ethereum, mas sim a antiga infraestrutura da internet, com mais de vinte anos, sobre a qual ela funciona
Autoridades certificadoras, números aleatórios, comportamentos padrão do Java
Se qualquer elo falhar, por mais sólida que a blockchain seja, é possível contorná-la por fora 🦖
Quem simplesmente mantém criptomoedas não precisa se preocupar com este caso
Para quem faz staking ou mantém um nó próprio, fica o alerta: afinal, quem mantém a sua lista de confiança?
ETH está cotado a cerca de 2.309 dólares, com queda de 2% no dia; BTC, a cerca de 79.830 dólares, com queda de 1,41%
O mercado está em queda. Correções nessa infraestrutura não vão se refletir nos preços no curto prazo, mas mais cedo ou mais tarde vão
Vamos conversar nos comentários: você conhece alguém que mantém o próprio nó? Quando essa pessoa atualizou o Java pela última vez?
Todos os dias, acompanho com você os principais temas de segurança cripto — não apenas contando o que aconteceu, mas também ajudando a entender a lógica e as oportunidades por trás das notícias 👀🚀
As chaves privadas de 8 autoridades certificadoras intermediárias eram tão fracas que podiam ser calculadas diretamente a partir de certificados públicos
Os navegadores bloquearam esses certificados, mas alguns clientes Ethereum continuaram a confiar neles
📣 盘面异动群里喊
Em 17 de outubro, pesquisadores de segurança descobriram essa falha no gerador de números aleatórios da autoridade certificadora indiana eMudhra
O problema estava na geração das chaves: a aleatoriedade era insuficiente, e a chave privada acabava sendo metade de um valor público
Quem obtivesse essas 8 chaves privadas poderia assinar um certificado que softwares sem correções aceitariam como legítimo
Os fabricantes de navegadores agiram primeiro. Um dia depois, a eMudhra revogou esses certificados intermediários e anunciou que deixaria o negócio de certificação
O verdadeiro problema está no Java
Por padrão, o Java não verifica se um certificado foi revogado
Por isso, as imagens Docker pré-configuradas do Teku continuaram confiando nesses certificados mesmo depois de os navegadores os bloquearem
Na terça-feira, o Teku lançou uma nova versão; na segunda, foi a vez do Besu. Ambos removeram a eMudhra da lista de confiança 🔐
O caminho do ataque é curto
Um nó capaz de se posicionar entre um validador e o serviço ao qual ele quer se conectar pode se passar por esse serviço
Um validador enganado pode propor um bloco e enviar as taxas para o endereço do atacante
Mais preocupante ainda é um serviço externo de assinatura falso, que tem permissão para assinar alterações no endereço que recebe as recompensas 💥
O Teku classificou esse cenário como de risco máximo
É importante esclarecer: nós Teku da mainnet com a configuração padrão não são afetados e não precisam fazer nada
Até agora, não há relatos de exploração real. A falha foi relatada inicialmente pela Consensys Diligence
Mas quem executa clientes por conta própria tem trabalho a fazer
Atualizar apenas o software Ethereum não basta: a lista de confiança do Java não muda junto
Uma nova imagem Docker também não corrige o Java instalado na máquina host
Quem ainda está no Java 26 tem um problema maior: essa versão já não recebe manutenção nem correções. A única opção é atualizar para o Java 25 ⚠️
Na minha opinião, o que ficou exposto desta vez não foi a camada de consenso do Ethereum, mas sim a antiga infraestrutura da internet, com mais de vinte anos, sobre a qual ela funciona
Autoridades certificadoras, números aleatórios, comportamentos padrão do Java
Se qualquer elo falhar, por mais sólida que a blockchain seja, é possível contorná-la por fora 🦖
Quem simplesmente mantém criptomoedas não precisa se preocupar com este caso
Para quem faz staking ou mantém um nó próprio, fica o alerta: afinal, quem mantém a sua lista de confiança?
ETH está cotado a cerca de 2.309 dólares, com queda de 2% no dia; BTC, a cerca de 79.830 dólares, com queda de 1,41%
O mercado está em queda. Correções nessa infraestrutura não vão se refletir nos preços no curto prazo, mas mais cedo ou mais tarde vão
Vamos conversar nos comentários: você conhece alguém que mantém o próprio nó? Quando essa pessoa atualizou o Java pela última vez?
Todos os dias, acompanho com você os principais temas de segurança cripto — não apenas contando o que aconteceu, mas também ajudando a entender a lógica e as oportunidades por trás das notícias 👀🚀