Fireblocks invita i clienti ad aggiornare il software interessato dopo la compromissione di otto certificati intermedi di autorità di certificazione collegati a eMudhra. In un'iniziativa separata, il fornitore di infrastrutture per asset digitali ha lanciato una piattaforma di trading progettata per semplificare l'approvvigionamento di liquidità in stablecoin per le società di pagamento e gli istituti finanziari.

L'azienda ha dichiarato che le indagini non hanno trovato prove dell'utilizzo dei certificati compromessi sulla sua piattaforma una volta applicate le misure correttive, e non ha segnalato alcun impatto su asset, comunicazioni o fondi dei clienti in relazione all'incidente di sicurezza.

Otto certificati compromessi innescano la risposta di sicurezza

In un post sul blog del 21 ottobre 2026, Fireblocks ha dichiarato che sei dei certificati compromessi erano associati a Transport Layer Security (TLS), mentre due erano utilizzati per la firma del codice. Le chiavi private esposte potrebbero potenzialmente consentire agli attaccanti di creare certificati HTTPS fraudolenti o firmare software dannosi per applicazioni che continuano a considerare attendibili i certificati interessati. In qualità di certificati intermedi, si collocano sotto le autorità root nella gerarchia dell'infrastruttura a chiave pubblica, ed è per questo che un singolo emittente compromesso può avere conseguenze per ogni sito e applicazione ad esso collegato.

Sebbene i browser abbiano bloccato i certificati, le applicazioni e i servizi in background che non verificano adeguatamente le informazioni di revoca dei certificati potrebbero rimanere vulnerabili finché i loro archivi di attendibilità dei certificati non saranno aggiornati. Lo stato di revoca viene tipicamente distribuito tramite liste di revoca dei certificati e il protocollo Online Certificate Status, meccanismi implementati in modo disomogeneo al di fuori dei browser principali.

Fireblocks ha dichiarato che non è noto pubblicamente se gli attaccanti abbiano sfruttato la vulnerabilità contro i clienti interessati. L'azienda ha definito l'evento un problema di attendibilità dei certificati piuttosto che un guasto di sicurezza su tutta la piattaforma.

Come rimediazione, Fireblocks ha consigliato agli utenti di Fireblocks Agent for Key Link di effettuare l'aggiornamento alla versione 2.4.4, e ai clienti che utilizzano la versione legacy del Python SDK di installare la versione 2.19.1 o migrare all'SDK attuale. Una nuova immagine Co-Signer datata 21 ottobre non include più i certificati interessati.

Ai clienti è stato inoltre consigliato di aggiornare le immagini dei sistemi operativi, i sistemi host e i bundle di autorità di certificazione utilizzati dai runtime dei linguaggi di programmazione. Fireblocks ha citato Python certifi versione 2026.10.19 o successiva e Go versioni 1.27.3 o 1.26.10 come esempi di pacchetti aggiornati.

L'azienda ha dichiarato che i suoi secure enclave si basano su un elenco preapprovato di autorità di certificazione che escludeva eMudhra. Sta inoltre contattando i fornitori terzi per confermarne lo stato di aggiornamento e sta esaminando il proprio ambiente aziendale per individuare eventuali esposizioni. Il follow-up riflette come l'attendibilità dei certificati si estenda a ogni dipendenza software su cui una piattaforma e i suoi clienti si affidano, non solo ai sistemi che gestiscono direttamente.

Fireblocks lancia Liquidity Market per le stablecoin

Separatamente, Fireblocks ha lanciato Liquidity Market, una piattaforma che consente alle società di pagamento e ad altre imprese di richiedere, confrontare ed eseguire operazioni su stablecoin con più provider di liquidità over-the-counter (OTC) all'interno di un unico ambiente di trading. Le stablecoin sono token basati su blockchain progettati per seguire il valore di valute di riferimento, e le imprese che le spostano in grandi volumi spesso si rivolgono a desk OTC anziché agli scambi pubblici.

Il servizio porta la scoperta dei prezzi e l'esecuzione delle operazioni nell'ambiente Fireblocks, consentendo ai clienti di confrontare quotazioni concorrenti mantenendo le proprie relazioni, condizioni di credito e accordi di regolamento esistenti con i singoli desk di trading.

Il lancio affronta un processo di approvvigionamento di liquidità che tradizionalmente richiedeva alle imprese di contattare i singoli desk di trading tramite portali separati, e-mail e servizi di messaggistica. Questo approccio può rendere difficili i confronti dei prezzi, in particolare quando le quotazioni scadono rapidamente e i team di tesoreria devono riconciliare manualmente limiti di credito, saldi disponibili e condizioni di trading.

Fireblocks ha dichiarato che le società OTC e di trading hanno trasferito quasi 50 miliardi di dollari in stablecoin a società di pagamento, fintech e istituti finanziari attraverso la sua rete negli ultimi 12 mesi.

MoneyGram, OpenPayd, Reap, TapTapSend e Zepz hanno partecipato come design partner. B2C2 e Zodia Markets erano disponibili come provider di liquidità al lancio, mentre Cumberland, FalconX, GSR, Hercle, Nonco e Wintermute erano att nei periodi successivi.

Controlli di trading centralizzati senza custodia

Liquidity Market consolida le informazioni sul credito, i requisiti di margine e i saldi tra i desk di trading collegati. I clienti possono eseguire transazioni tramite la Fireblocks Console o un'interfaccia di programmazione delle applicazioni, con le singole esecuzioni registrate in relazione alle quotazioni di origine.

La piattaforma utilizza il Policy Engine di Fireblocks per far rispettare i limiti di trading e le autorizzazioni di esecuzione tra i provider collegati. Le connessioni degli account e l'esecuzione degli ordini richiedono l'approvazione del quorum, aggiungendo un livello di governance alle transazioni effettuate tramite il sistema.

Fireblocks ha dichiarato di non applicare spread di trading, non detenere in custodia gli asset durante la conversione e non partecipare al flusso di fondi. I clienti regolano invece le transazioni direttamente con i provider di liquidità selezionati.

Il servizio supporta le principali stablecoin contro dollaro statunitense, euro, sterlina britannica e altre valute del Gruppo dei Dieci. La disponibilità non garantisce che ogni provider o coppia di valute sia accessibile in ogni giurisdizione.

Ran Goldi, chief payments and network officer di Fireblocks, ha dichiarato che la piattaforma è stata concepita per portare prezzi ed esecuzione nello stesso ambiente in cui molte società di pagamento e le loro controparti di trading gestiscono già le tesorerie in asset digitali.

Sicurezza e liquidità restano priorità chiave

I due sviluppi affrontano sfide operative distinte per le imprese di asset digitali. L'incidente eMudhra evidenzia l'importanza di mantenere aggiornate le configurazioni di attendibilità dei certificati nel software gestito dai clienti, mentre Liquidity Market punta al processo frammentato di approvvigionamento di stablecoin da più controparti di trading.

Per le società di pagamento che espandono i servizi transfrontalieri, l'accesso a liquidità competitiva può influire sui costi delle transazioni e sulla capacità di supportare ulteriori corridoi di pagamento. La nuova piattaforma mira a snellire tale processo preservando il regolamento diretto tra clienti e provider di liquidità.

Fireblocks ha dichiarato che ulteriori provider di liquidità verranno aggiunti nel tempo, mentre la risposta di sicurezza continuerà con aggiornamenti software e verifiche coinvolgenti i fornitori terzi.

Fonte: CoinTrust