据区块链安全公司CertiK称，尽管各大科技公司已推出紧急修复措施，加密货币交易机器人和交易所应用程序仍可能暴露于与印度eMudhra相关的证书安全漏洞之中。

截至周二，包括谷歌、苹果和微软在内的科技巨头已封禁了eMudhra签发的八张存在漏洞的证书——这些证书可用于伪造合法网站，正如Cointelegraph此前报道。像eMudhra这样的证书颁发机构是HTTPS信任的基石：它们是签发网站用以证明自身身份的数字证书的可信组织，这也是不当签发的证书被视为全网络安全问题的原因。然而，CertiK数字资产安全高级总监Peiyu Wang告诉Cointelegraph，这些浏览器层面的修复措施可能无法覆盖依赖独立安全系统的加密货币应用程序。

"主流浏览器的封禁大幅降低了接收并执行这些封禁的客户端的风险，"Wang表示。"浏览器生态之外的一些应用程序既不执行证书透明度机制，也无法获得同等的吊销保护。"

证书透明度是一种被广泛使用的框架，浏览器通过该框架将网站证书与公开、可审计的日志进行核对，有助于确保不当签发的证书能够被检测和封禁。在该生态之外运行的应用程序可能无法享受同样的安全保障——这一缺口直接影响到加密货币领域，因为交易机器人和交易所应用程序通常通过API而非浏览器与服务交互。

Wang强调，加密货币服务并不比其他行业更容易受到该漏洞的影响。尽管如此，攻击者仍可能利用被攻陷的证书来冒充交易所、钱包界面和API所使用的HTTPS连接。

具体而言，Wang表示，攻击者可能冒充加密货币服务来替换充值地址，或诱导用户批准恶意交易。此类攻击还需要拦截或重定向用户的互联网流量，而证书颁发机构密钥被攻陷本身并不会暴露钱包私钥。

Wang敦促加密货币运营商更新其软件和证书信任库，并验证其应用程序拒绝受影响的证书——由于浏览器层面的封禁可能无法自动覆盖这些浏览器之外的应用程序，验证工作需要由各运营商自行完成。

Felix Ng参与报道。

来源：Cointelegraph