以太坊客户端 Teku 与 Besu 发布安全更新，二进制用户需单独检查 Java 运行环境
相关推荐
以太坊客户端Teku和Besu修复证书漏洞，防止攻击者窃取ETH奖励
PANews 10月29日消息，据CoinDesk报道，以太坊客户端Teku发布26.10.3版本、Besu发布26.10.2版本，均在Docker镜像中停止信任与印度证书机构eMudhra相关的证书。此前研究人员发现，由于密码学缺陷，eMudhra八个中间证书机构的私钥可被推算。Teku表示，攻击者若位于验证者与其连接服务之间，可冒充该服务，被欺骗的验证者可能提出将费用支付给攻击者地址的区块，而伪造外部签名者风险最高。Teku称主网默认节点不受影响，未报告漏洞利用。直接运行而未使用Docker的运营商需自行更新Java，仍使用Java 26的用户需迁移至Java 25，该版本已停止维护。
以太坊客户端发布安全更新，修复eMudhra证书漏洞，默认主网节点不受影响
火星财经消息，10 月 29 日，印度证书颁发机构 eMudhra 的加密安全漏洞波及以太坊客户端 Teku 和 Besu。研究人员发现，eMudhra 旗下 8 个中间证书颁发机构的私钥因随机性不足而可能被推算，攻击者由此可能伪造证书，并诱骗未修复的软件信任恶意服务。 Teku 已发布 26.10.3 版本，Besu 已发布 26.10.2 版本，均在 Docker 镜像中移除了对相关证书的信任。若攻击者实施中间人攻击，可能诱骗部分验证者将区块手续费奖励发送至攻击者地址；在使用外部签名器的特定配置下，风险可能更高。 Teku 团队表示，默认配置的以太坊主网 Teku 节点不受影响，无需采取行动，目前尚无漏洞遭利用的报告。对于直接在主机上运行 Teku 或 Besu、未使用 Docker 的运营者，仅更新客户端可能不够，还需手动更新 Java 及其受信任证书列表。仍在使用已停止维护的 Java 26 的运营者，则需要迁移至 Java 25。
印度数字证书机构 eMudhra 8 个私钥遭破解，该漏洞或威胁加密货币交易等系统安全
Foresight News 消息，据 CoinDesk 报道，印度数字证书颁发机构 eMudhra 的 8 个私钥因安全强度不足遭研究人员破解，攻击者可能利用相关密钥伪造数字证书、冒充可信网站，并拦截或篡改用户通信数据。 据研究人员披露，eMudhra 使用了 4、56、237 等简单整数作为私钥，而非高强度随机数，导致全部 8 个私钥可在不到一秒内被恢复。漏洞于 10 月 17 日被报告后，Mozilla 和 Chrome 当天采取封禁措施，苹果和微软分别于 10 月 19 日、20 日跟进，eMudhra 也已撤销相关证书。 该漏洞还可能影响加密货币交易机器人、交易所 API 连接及钱包后端等系统，尤其是未及时验证证书撤销状态的软件。目前尚无利用该漏洞攻击加密货币用户的公开报告。
Zcash Labs推出JavaScript开发工具包Zcash JS
PANews 10月26日消息，Zcash Labs宣布推出JavaScript开发工具包Zcash JS，开发者可用它构建基于Zcash的网页端、服务器端和移动端应用。官方称可开发的应用包括钱包、轻客户端和数据看板等。Zcash Labs表示将持续维护Zcash JS，并围绕它建设配套工具和代码库生态。项目文档和GitHub代码库已同步公开。
Consensys 警告以太坊运营者注意 eMudhra 签名风险
火星财经消息，Consensys 与数字签名解决方案提供商 eMudhra 团队联合发布安全警告，指出以太坊运营者在使用 eMudhra 签名方案时存在风险。团队发现部分 Java 信任存储存在漏洞，且部分配置会导致暴露风险。根据披露，默认设置不受影响，但部分 Web3Signer 部署需要立即更改访问控制。Web3Signer 是 Consensys 开发的开源远程签名工具，常用于以太坊等网络的密钥管理。
eMudhra签发的8份TLS证书私钥强度极弱，攻击者或可冒充几乎任何网站
Odaily星球日报讯 Bitcoin News 在 X 平台发文表示，印度 eMudhra 签发的 8 份 TLS 证书被发现存在强度极弱的私钥，攻击者可能借此冒充几乎任何网站。主要浏览器已屏蔽受影响证书，但数百万台服务器、Linux 系统和联网设备可能仍需更新。一名密码学专家警告称，此次清理工作规模可能超过 2014 年的 Heartbleed 漏洞，目前尚未确认存在恶意利用。