#btc
8个中级证书机构的私钥 弱到能从公开证书里直接算出来
浏览器先把这批证书拉黑了 以太坊的一部分客户端还在继续信任
📣 盘面异动群里喊
10月17日 安全研究人员在印度证书机构 eMudhra 身上发现了这个随机数缺陷
问题出在密钥生成那一步 随机性不够 私钥等于半个公开值
谁拿到这8把私钥 谁就能签出一张没打过补丁的软件会当成真的证书
浏览器厂商先动手 一天后 eMudhra 吊销了这批中级证书 并宣布退出证书业务
真正的坑在 Java
Java 默认不检查证书有没有被吊销
所以 Teku 打包好的 Docker 镜像 在浏览器拉黑之后 还在信这些证书
Teku 周二发了新版 Besu 周一发了新版 两个都把 eMudhra 从信任清单里剔掉 🔐
攻击路径不长
一个能卡在验证者和它要连的服务中间的节点 就能冒充那个服务
被骗的验证者 可能出一个块 把手续费打给攻击者的地址
更麻烦的是假的外部签名服务 它手里握着改奖励收款地址的签名权限 💥
Teku 把这一种列为风险最高
需要说清楚的是 默认配置的主网 Teku 节点不受影响 也不需要做任何操作
目前没有实际被利用的报告 问题最早由 Consensys Diligence 报出来
但自己裸跑客户端的人有活要干
只升级以太坊软件不够 Java 的信任清单不会跟着变
新的 Docker 镜像也修不了宿主机上的 Java
还在 Java 26 的人更麻烦 那个版本已经停止维护 没有补丁 只能升到 Java 25 ⚠️
我的判断是 这次暴露的不是以太坊的共识层 而是它脚下那套二十多年的互联网老栈
证书机构 随机数 Java 的默认行为
哪一环松了 链上再稳也会被从旁边绕过去 🦖
对普通持币人 这一条不用慌
对质押和自建节点的人 这是一次提醒 你的信任清单到底是谁在维护
现价 ETH 约 2309 美元 一天跌 2 个点 BTC 约 79830 美元 一天跌 1.41 个点
大盘在跌 这种基础设施的修补 短期不会被定价 但迟早会
评论区聊聊 你身边有自己跑节点的人吗 他们上次更新 Java 是什么时候
每天带你关注加密安全热点 不只是看新闻发生什么 更带你看懂背后的逻辑和机会 👀🚀
8个中级证书机构的私钥 弱到能从公开证书里直接算出来
浏览器先把这批证书拉黑了 以太坊的一部分客户端还在继续信任
📣 盘面异动群里喊
10月17日 安全研究人员在印度证书机构 eMudhra 身上发现了这个随机数缺陷
问题出在密钥生成那一步 随机性不够 私钥等于半个公开值
谁拿到这8把私钥 谁就能签出一张没打过补丁的软件会当成真的证书
浏览器厂商先动手 一天后 eMudhra 吊销了这批中级证书 并宣布退出证书业务
真正的坑在 Java
Java 默认不检查证书有没有被吊销
所以 Teku 打包好的 Docker 镜像 在浏览器拉黑之后 还在信这些证书
Teku 周二发了新版 Besu 周一发了新版 两个都把 eMudhra 从信任清单里剔掉 🔐
攻击路径不长
一个能卡在验证者和它要连的服务中间的节点 就能冒充那个服务
被骗的验证者 可能出一个块 把手续费打给攻击者的地址
更麻烦的是假的外部签名服务 它手里握着改奖励收款地址的签名权限 💥
Teku 把这一种列为风险最高
需要说清楚的是 默认配置的主网 Teku 节点不受影响 也不需要做任何操作
目前没有实际被利用的报告 问题最早由 Consensys Diligence 报出来
但自己裸跑客户端的人有活要干
只升级以太坊软件不够 Java 的信任清单不会跟着变
新的 Docker 镜像也修不了宿主机上的 Java
还在 Java 26 的人更麻烦 那个版本已经停止维护 没有补丁 只能升到 Java 25 ⚠️
我的判断是 这次暴露的不是以太坊的共识层 而是它脚下那套二十多年的互联网老栈
证书机构 随机数 Java 的默认行为
哪一环松了 链上再稳也会被从旁边绕过去 🦖
对普通持币人 这一条不用慌
对质押和自建节点的人 这是一次提醒 你的信任清单到底是谁在维护
现价 ETH 约 2309 美元 一天跌 2 个点 BTC 约 79830 美元 一天跌 1.41 个点
大盘在跌 这种基础设施的修补 短期不会被定价 但迟早会
评论区聊聊 你身边有自己跑节点的人吗 他们上次更新 Java 是什么时候
每天带你关注加密安全热点 不只是看新闻发生什么 更带你看懂背后的逻辑和机会 👀🚀