以太坊两款节点客户端出新补丁，问题来自一家证书机构的密钥漏洞。黑客可以伪造可信证书，冒充验证者对接的外部服务，运气得逞就可能把区块奖励转到自己地址。官方说默认主网设置是安全的，还没有真实攻击发生。下面小编简单梳理此次以太坊客户端推出补丁的安全消息。

以太坊客户端开发团队Teku与Besu已发布安全更新，修复一处证书漏洞。该漏洞可能让攻击者冒充验证节点所依赖的服务，进而劫持区块奖励。

随版本一同发布的安全公告显示，问题根源来自印度数字证书服务商eMudhra的证书颁发机构密钥遭到泄露，使得特定以太坊节点配置容易遭受伪造HTTPS连接攻击。

Teku于10月27日发布26.10.3版本，Besu则在前一天上线26.10.2版本。两个版本均在Docker镜像内移除对受影响eMudhra证书的信任，节点运营者通过该镜像部署运行以太坊节点程序。

该漏洞会影响那些依赖外部服务进行交易签名、与信标节点通信、获取区块构建信息的验证者。攻击者需要拦截相关连接，并出示验证节点程序会判定为合法的伪造证书。Teku开发团队确认，以太坊主网默认配置不受该漏洞影响，且暂未收到漏洞被利用的报告。

以太坊安全漏洞溯源：eMudhra证书密钥泄露

本次安全事件源于eMudhra旗下8个中级证书颁发机构的加密缺陷，其私钥生成时的随机熵不足。研究人员在10月17日发现该问题，这类私钥可以凭借公开证书中的信息通过数学方式推算出来。

微软10月26日安全公告显示，其中6张受影响证书用于网络通信加密，另外2张用于代码签名。密钥泄露后，攻击者可以生成伪造证书，在程序仍信任该证书链的情况下，伪造证书会被判定为可信。

eMudhra已于10月18日吊销这批中级证书，各大技术厂商也陆续在软件中移除对该证书链的信任。微软在10月20日通过Windows安全更新拦截相关证书机构，并在10月26日再次推送更新，从信任列表剔除7张关联证书。

但该风险依旧波及以太坊，原因是Teku、Besu基于Java开发，而Java默认不会校验证书吊销状态。因此即便证书已经吊销，存在漏洞的Java环境依旧会接纳来自问题证书机构的证书。

攻击者劫持以太坊验证者奖励的攻击路径

Teku安全公告列举了多种HTTPS通信场景下的攻击方式，针对验证节点与外部服务之间的连接：一种场景是攻击者冒充验证节点对接的远程信标节点，以此参与以太坊共识工作。如果攻击者成功拦截连接并出示伪造证书，验证节点会收到被篡改的区块信息，按照Teku说明，这可能造成验证节点打包出块，将交易手续费定向转入攻击者控制的地址。

外部签名服务是另一高风险环节。这类服务将验证者签名密钥与主节点程序分开存储，按需提供签名。攻击者冒充外部签名服务，有可能骗取验证者退出质押相关的签名，具体取决于节点配置与防护措施。Teku将该场景列为高危；如果部署了双向TLS认证，攻击后果最多仅为拒绝服务。

其他存在风险的连接对象还包括执行客户端、区块构建者、中继器，以及拉取验证节点配置的服务。以太坊底层P2P点对点网络协议不受影响，该协议并不依赖这批问题证书机构。

Teku与Besu推出节点修复版本

漏洞披露后，Teku在Docker镜像中移除4个证书根，包括emSign ECC Root CAG3、emSign Root CAG1、emSign Root CAG2以及AAA Certificate Services；Besu的26.10.2版本同步移除这些证书，使用新版Docker镜像的运营者可规避风险。

注意：该更新不会自动升级节点单独安装的Java环境。以独立二进制包方式运行Teku或Besu的用户，需要自行检查Java运行环境，按需更新信任证书列表。Teku提醒，仍在使用Java26的运营者需要迁移至Java25，Java26已经停止维护，不会提供对应的补丁版本。

公告同时提到部分测试网配置存在暴露风险，例如通过HTTPS下载初始链状态的部署方式。

本次安全更新发布前，以太坊验证节点基础设施已经接连出现安全相关事件。本月早些时候有报道称，MetaMask在9月30日另一起基础设施安全事件后，已经协助相关验证节点退出质押。近期以太坊开发者还在即将上线的Glamsterdam升级中修复了验证者存款漏洞：研究人员发现存在一种情形，区块构建者账户可能本应归属验证者的ETH奖励。

Glamsterdam升级本身也出现延期，开发者推迟Hoodi测试网激活时间，排查EIP-8037带来的智能合约兼容问题。10月26日的延期公告，推迟了阿姆斯特丹层执行改动、Gloas共识改动，同时原定将Hoodi测试网Gas上限上调至2亿的计划一并延后。以太坊开发者暂未公布新的激活时间。