eMudhra 私钥泄露：以太坊验证者奖励面临被盗风险

据 Woofun AI 消息，印度证书颁发机构 eMudhra 的加密漏洞已渗透至以太坊网络，引发验证者区块奖励被盗风险。 客户端于周二发布 26.10.3 版本， 客户端于周一发布 26.10.2 版本，两者均在其预打包 Docker 镜像中移除了对 eMudhra 相关证书的信任。

这一举措旨在阻断攻击者利用该漏洞悄无声息地转移部分验证者收益的路径。

深层原因在于 Java 语言默认不检查证书撤销状态。10 月 17 日，研究人员发现 eMudhra 旗下八家中间级证书权威机构的私钥在生成时随机性不足，导致私钥可被反推。

尽管浏览器已阻断这些证书且 eMudhra 随后撤销并宣布退出证书业务，但未安装补丁的软件仍视其为有效凭证。Woofun AI 整理数据显示，处于验证者与连接服务之间的攻击者可借此伪装成目标服务。Teku 安全公告指出，受欺骗的验证者可能提出将费用支付给攻击者地址的新区块；更高风险情形在于，负责保管验证者私钥的虚假外部签名方可能提供用于更改奖励分配方式的签名。Teku 团队强调，主网上默认版 Teku 节点未受影响，且目前尚未有相关利用案例被报告。该问题最早由 Teku 的安全合作伙伴 发现。

值得注意的是，直接在本地机器运行 Teku 或 Besu 而不使用 Docker 的运营者必须自行升级 Java，因为以太坊软件更新不会改动 Java 的受信任证书列表，且新 Docker 镜像无法修复主机上已安装的 Java 版本。对于仍在使用 Java 26 版本的用户，解决方式更为复杂。Teku 指出该版本已到生命周期终点，不会再有修复版本推出，因此这类用户需要升级到 Java 25 版本以消除安全隐患。这是继基础设施层依赖风险暴露后，以太坊生态对底层软件供应链安全的一次关键加固。