Hai client lớn của Ethereum khẩn cấp phát hành bản vá: lỗ hổng chứng chỉ có thể khiến kẻ tấn công chiếm đoạt phần thưởng của validator
- Theo CoinDesk và ChainCatcher đưa tin ngày 29/10, các client Ethereum Teku (26.10.3, phát hành hôm thứ Ba) và Besu (26.10.2, phát hành hôm thứ Hai) đã khẩn cấp cập nhật, thu hồi niềm tin đối với các chứng chỉ liên quan đến tổ chức cấp chứng chỉ eMudhra của Ấn Độ.
- Nguyên nhân bắt nguồn từ phát hiện của các nhà nghiên cứu vào ngày 17/10: khóa riêng của 8 tổ chức cấp chứng chỉ trung gian thuộc eMudhra có thể bị suy ra từ các chứng chỉ công khai do thiếu tính ngẫu nhiên. Kẻ tấn công có thể lợi dụng điều này để làm giả chứng chỉ, mạo danh các dịch vụ bên ngoài mà validator kết nối. Với một số cấu hình nhất định (đặc biệt là khi dùng thiết bị ký bên ngoài), phần thưởng khối có thể bị chuyển đến địa chỉ của kẻ tấn công.
- Tin tốt là nhóm Teku cho biết các node mainnet dùng cấu hình mặc định không bị ảnh hưởng và hiện chưa phát hiện trường hợp khai thác thực tế nào. eMudhra đã thu hồi các chứng chỉ liên quan vào ngày 18/10 và thông báo rút khỏi lĩnh vực kinh doanh chứng chỉ. Rủi ro nằm ở chỗ Java mặc định không kiểm tra trạng thái thu hồi; trước đó, các ảnh Docker vẫn tin cậy những chứng chỉ này.
- Lưu ý dành cho nhà vận hành node: người dùng Docker chỉ cần cập nhật image; người chạy trực tiếp file nhị phân còn cần tự cập nhật Java và danh sách chứng chỉ đáng tin cậy. Những ai vẫn đang dùng Java 26 đã ngừng hỗ trợ cần chuyển sang Java 25.
Nhận định của tôi: Tác động ngắn hạn đến $ETH ở mức trung tính, vì lỗ hổng đã được vá và chưa thấy bị khai thác thực tế. Tuy nhiên, sự việc nhắc nhở thị trường rằng các lỗ hổng “nhỏ” ở tầng cơ sở hạ tầng cũng có thể ảnh hưởng đến thu nhập của validator; tâm lý ngắn hạn có phần thận trọng.
Nguồn: CoinDesk, ChainCatcher (Foresight News dẫn lại), thông báo từ nhóm Teku. BTC khoảng 80.200 USD, ETH khoảng 2.310 USD; dữ liệu PCE/GDP lúc 20:30 tối nay là yếu tố kích hoạt tiếp theo.
#以太坊 #ETH #AnNinhMạng
Nhấn vào thẻ để xem giá trực tiếp: Bạn có chạy node không? Bạn có cài ngay những bản vá bảo mật kiểu này không?
- Theo CoinDesk và ChainCatcher đưa tin ngày 29/10, các client Ethereum Teku (26.10.3, phát hành hôm thứ Ba) và Besu (26.10.2, phát hành hôm thứ Hai) đã khẩn cấp cập nhật, thu hồi niềm tin đối với các chứng chỉ liên quan đến tổ chức cấp chứng chỉ eMudhra của Ấn Độ.
- Nguyên nhân bắt nguồn từ phát hiện của các nhà nghiên cứu vào ngày 17/10: khóa riêng của 8 tổ chức cấp chứng chỉ trung gian thuộc eMudhra có thể bị suy ra từ các chứng chỉ công khai do thiếu tính ngẫu nhiên. Kẻ tấn công có thể lợi dụng điều này để làm giả chứng chỉ, mạo danh các dịch vụ bên ngoài mà validator kết nối. Với một số cấu hình nhất định (đặc biệt là khi dùng thiết bị ký bên ngoài), phần thưởng khối có thể bị chuyển đến địa chỉ của kẻ tấn công.
- Tin tốt là nhóm Teku cho biết các node mainnet dùng cấu hình mặc định không bị ảnh hưởng và hiện chưa phát hiện trường hợp khai thác thực tế nào. eMudhra đã thu hồi các chứng chỉ liên quan vào ngày 18/10 và thông báo rút khỏi lĩnh vực kinh doanh chứng chỉ. Rủi ro nằm ở chỗ Java mặc định không kiểm tra trạng thái thu hồi; trước đó, các ảnh Docker vẫn tin cậy những chứng chỉ này.
- Lưu ý dành cho nhà vận hành node: người dùng Docker chỉ cần cập nhật image; người chạy trực tiếp file nhị phân còn cần tự cập nhật Java và danh sách chứng chỉ đáng tin cậy. Những ai vẫn đang dùng Java 26 đã ngừng hỗ trợ cần chuyển sang Java 25.
Nhận định của tôi: Tác động ngắn hạn đến $ETH ở mức trung tính, vì lỗ hổng đã được vá và chưa thấy bị khai thác thực tế. Tuy nhiên, sự việc nhắc nhở thị trường rằng các lỗ hổng “nhỏ” ở tầng cơ sở hạ tầng cũng có thể ảnh hưởng đến thu nhập của validator; tâm lý ngắn hạn có phần thận trọng.
Nguồn: CoinDesk, ChainCatcher (Foresight News dẫn lại), thông báo từ nhóm Teku. BTC khoảng 80.200 USD, ETH khoảng 2.310 USD; dữ liệu PCE/GDP lúc 20:30 tối nay là yếu tố kích hoạt tiếp theo.
#以太坊 #ETH #AnNinhMạng
Nhấn vào thẻ để xem giá trực tiếp: Bạn có chạy node không? Bạn có cài ngay những bản vá bảo mật kiểu này không?
