Los desarrolladores de clientes de Ethereum han lanzado actualizaciones de seguridad de emergencia para Teku y Besu después de que una falla criptográfica en la autoridad certificadora india eMudhra expusiera ciertas configuraciones de nodos a posibles ataques. La falla podría haber permitido a atacantes falsificar certificados de confianza e interceptar comunicaciones entre componentes de la infraestructura de Ethereum, aunque los desarrolladores confirmaron que las configuraciones predeterminadas de la mainnet de Ethereum no fueron afectadas.

Ambos clientes, que sustentan las operaciones de la blockchain y la infraestructura de validadores, recibieron parches urgentes. Teku funciona como cliente de la capa de consenso y Besu como cliente de la capa de ejecución, y ambos están escritos en Java, un detalle que determina cómo llega la corrección a las diferentes configuraciones de los operadores. Los investigadores identificaron escenarios de ataque potencialmente graves, pero los desarrolladores no han reportado explotación confirmada en las instalaciones de Teku afectadas.

Cómo la falla de certificados de eMudhra creó riesgos de seguridad

El incidente se remonta a un error criptográfico en el proceso de generación de certificados de eMudhra en abril de 2025. La compañía generó ocho claves intermedias de autoridad certificadora con una fortaleza criptográfica insuficiente, dejando sus claves privadas recuperables.

Las autoridades certificadoras son el pilar del modelo de confianza de HTTPS: las aplicaciones confían en sus firmas para confirmar que los servidores a los que se conectan son genuinos. Un investigador independiente descubrió la debilidad el 17 de octubre de 2026. Esta permitía a atacantes elaborar certificados fraudulentos que aplicaciones vulnerables podrían confundir con legítimos. El problema pasó desapercibido durante unos 18 meses a pesar de auditorías de seguridad independientes.

Posteriormente, eMudhra revocó los certificados afectados y reconoció que un error de scripting había producido las claves criptográficas débiles. Reuters informó que el episodio también llevó a la compañía a retirarse de su negocio global de certificados de seguridad para sitios web, aunque eMudhra sostuvo que su infraestructura y los datos de sus clientes no fueron comprometidos.

Teku y Besu lanzan actualizaciones de seguridad de emergencia

En respuesta, los desarrolladores de clientes de Ethereum eliminaron la confianza en las autoridades certificadoras afectadas de sus distribuciones Docker. Teku lanzó la versión 26.10.3 el 27 de octubre, mientras que Besu publicó la versión 26.10.2 el 26 de octubre.

Los parches abordan riesgos vinculados a conexiones HTTPS que dependen de cadenas de certificados comprometidas. Bajo ciertas configuraciones, atacantes que realicen ataques de intermediario, retransmitiendo y alterando silenciosamente el tráfico entre dos partes, podrían manipular potencialmente las comunicaciones entre validadores y servicios de firma externos. Tales ataques podrían, en teoría, redirigir las recompensas de tarifas de bloque hacia direcciones controladas por atacantes.

Sin embargo, explotar este escenario requeriría condiciones específicas, incluyendo configuraciones vulnerables y la capacidad de interceptar el tráfico de red relevante. Los nodos predeterminados de la mainnet de Ethereum sin conexiones HTTPS afectadas quedaron fuera de la exposición identificada.

Verificaciones adicionales de Java para los operadores de Ethereum

Los operadores que ejecuten imágenes Docker actualizadas reciben los cambios de confianza de certificados a través de sus contenedores, ya que las imágenes incluyen su propio entorno de ejecución. Sin embargo, los administradores que ejecuten Teku o Besu directamente en servidores deben inspeccionar por separado sus instalaciones de Java y sus almacenes de confianza de certificados. Actualizar solo el cliente de Ethereum podría no eliminar la vulnerabilidad si el entorno Java subyacente sigue confiando en los certificados afectados.

El episodio destaca cómo las debilidades en la infraestructura de seguridad externa pueden crear riesgos para las aplicaciones blockchain sin comprometer el propio protocolo de la blockchain. Para los validadores de Ethereum, mantener seguros el software cliente y las configuraciones de certificados sigue siendo esencial para proteger la infraestructura operativa y las posibles recompensas.