Los clientes de Ethereum corrigen un fallo que podía redirigir las recompensas de ETH
Un fallo criptográfico en una empresa india de certificados llegó a Ethereum y podría haber permitido a atacantes redirigir a sus propias direcciones las recompensas de bloque de algunos validadores.
Teku, el software que muchos validadores usan para operar la capa de proof-of-stake de Ethereum, publicó el martes la versión 26.10.3. Besu, que procesa transacciones de Ethereum, lanzó el lunes la versión 26.10.2. Ambas actualizaciones dejan de confiar en los certificados vinculados a eMudhra, una autoridad certificadora india, dentro de sus imágenes Docker, las versiones empaquetadas que ejecutan muchos operadores.
Los validadores son los ordenadores que ponen ETH en staking para asegurar Ethereum y cobran comisiones por proponer bloques. Algunos se comunican con otros servicios por internet y dependen de certificados digitales para verificar que hablan con el servicio correcto. El 17 de octubre, unos investigadores descubrieron que las claves privadas de ocho de las autoridades certificadoras intermedias de eMudhra se habían generado con muy poca aleatoriedad. Eso permitía deducir las claves a partir de los propios certificados, que son públicos. Cualquiera que tuviera esas claves podía emitir certificados que el software sin parchear aceptaría como válidos.
Los navegadores bloquearon los certificados, eMudhra los revocó un día después y la compañía anunció que abandonará el negocio de certificados. Java, el lenguaje sobre el que funcionan Teku y Besu, no comprueba por defecto si un certificado ha sido revocado. Por eso las imágenes Docker de Teku siguieron confiando en los certificados defectuosos incluso después de que los navegadores los descartaran. Un atacante situado entre un validador y un servicio al que se conecta podría hacerse pasar por ese servicio.
En su aviso de seguridad, Teku señaló que un validador engañado de esta forma podría proponer un bloque que pague las comisiones del bloque a la dirección del atacante. Un firmante externo falso, el servicio separado que guarda las claves de un validador, podría entregar firmas usadas para cambiar el destino de las recompensas, una configuración que Teku calificó como la de mayor riesgo. El equipo indicó que un nodo Teku predeterminado en la red principal no está afectado y no requiere ninguna acción, y añadió que no se ha reportado ninguna explotación. Consensys Diligence, socio de seguridad de Teku, detectó el problema inicialmente.
Los operadores que ejecutan Teku o Besu directamente en sus máquinas, sin Docker, deben actualizar Java por su cuenta, ya que actualizar el software de Ethereum no modifica la lista de certificados de confianza de Java. Las nuevas imágenes Docker tampoco corrigen el Java instalado en el host. Quienes sigan en Java 26 tienen una solución más complicada: Teku dijo que esa versión está al final de su vida útil y no recibirá una versión parcheada, por lo que esos operadores tendrán que pasar a Java 25.
