Leer más: Una empresa que avala sitios web tenía claves secretas tan débiles que descifraron 8 de ellas
Java, el lenguaje de programación en el que se ejecutan Teku y Besu, no comprueba de forma predeterminada si se ha revocado un certificado. Por eso, las imágenes Docker de Teku siguieron confiando en los certificados fraudulentos incluso después de que los navegadores los descartaran.
Cómo podrían perder dinero los validadores
Un atacante situado entre un validador y un servicio al que se conecta podría hacerse pasar por ese servicio. En su aviso de seguridad, Teku dijo que un validador engañado de esta manera podría proponer un bloque que pagara sus comisiones a la dirección del atacante.
Un firmante externo falso, el servicio separado que guarda las claves de un validador, podría entregar firmas usadas para cambiar el destino de las recompensas, una configuración que Teku clasificó como la de mayor riesgo.
«Un nodo Teku predeterminado en la red principal no está afectado y no requiere ninguna acción», escribió el equipo, y añadió que «no se ha informado de ninguna explotación». Consensys Diligence, socio de seguridad de Teku, señaló inicialmente el problema.
Los operadores que ejecutan Teku o Besu directamente en sus máquinas, sin Docker, tienen que actualizar Java por su cuenta, ya que actualizar el software de Ethereum no modifica la lista de certificados de confianza de Java. Las nuevas imágenes Docker tampoco corrigen Java instalado en el equipo anfitrión.
Sin embargo, quienes sigan usando Java 26 tienen una solución más complicada. Teku dijo que esa versión llegó al final de su vida útil y no recibirá una versión corregida, por lo que esos operadores deben pasar a Java 25.