Teku 安全警告：eMudhra 证书泄露或致节点被冒充

以太坊共识客户端 Teku 的开发团队近日发出安全警报，提示因 eMudhra 八家中间证书颁发机构的私钥泄露，可能引发攻击者在特定条件下伪装成其节点所连接的远程服务。

该漏洞仅影响配置了 HTTPS 连接目标的 Teku 节点，主网默认节点不受影响，无需额外操作。关键风险点在于运行于未应用 OpenJDK 修复补丁的 Java 环境中的节点。

eMudhra 证书事件背景

10 月 17 日，eMudhra（emSign）旗下八家中间证书的私钥被证实可从公钥证书中逆向推导。相关证书于次日被撤销，主流浏览器、操作系统及 Go 语言环境已将其列入黑名单。

由于 Java 默认不主动检查证书吊销状态，必须依赖独立修复补丁。OpenJDK 分别于 10 月 20 日和 23 日发布两个更新版本，用于解决此问题。

若未部署任一补丁，具备网络流量拦截能力的攻击者可伪造目标服务器身份，诱导 Teku 节点建立虚假连接。团队强调：“当前唯一有效防护是网络位置控制，而非证书本身。”

哪些验证者面临风险？

外部签名器是最高风险场景。若被冒充，攻击者可能获取自愿退出签名、篡改费用分配注册信息，甚至在防 slashing 机制关闭时提交可惩罚性签名。

若签名器要求客户端证书认证，则攻击主要造成拒绝服务，影响有限。

远程信标节点连接也存在中等风险。攻击者可通过伪装节点诱使验证者提交支付给攻击者的区块。但得益于 Teku 内置的防 slashing 保护，此类行为仍无法导致惩罚性后果。

所有包含 -jdk25 与 -jdk26 标签的 Teku Docker 镜像（截至版本 26.10.2），均搭载未打补丁的 Java 运行时。这意味着依赖这些镜像的用户在新修复镜像发布前将持续暴露。

开发团队建议迁移至 -jdk25 标签版本，因 Java 26 已停止维护，后续不会再提供相关补丁。

此次警示正值以太坊生态多项重要进展并行推进之际：本周初，开发者发布了阿姆斯特丹升级的合并修复方案，解决构建者存款问题；同时，比特币钱包 Electrum 也修补了一处可被恶意服务器利用的安全缺陷。