تحديثات إيثريوم تعالج ثغرة أمنية تهدد مكافآت المودعين

خطوات أمنية عاجلة لحماية شبكة إيثريوم من الثغرات البرمجية

سارع مطورو عملاء التوافق لشبكة إيثريوم إلى إطلاق تحديثات إيثريوم جديدة لمعالجة خلل أمني خطير يتعلق بشهادات التشفير الرقمية. وكان من الممكن للثغرة المكتشفة أن تسمح للمهاجمين بانتحال صفة الخدمات المتصلة بعقد التدقيق، وتوجيه مكافآت الكتل إلى عناوينهم الخاصة في ظروف محددة.

ولم تُسجل أي حالات استغلال للثغرة على الشبكة الرئيسية، كما أن الإعدادات الافتراضية لمنظومة التدقيق لم تتأثر بشكل مباشر. وتطلبت هذه الخطوة تدخلاً سريعًا من فرق التطوير لضمان استقرار الشبكة ومنع أي اختراق محتمل قد يستهدف البنية التحتية.

جذور المشكلة في شهادات eMudhra الرقمية

تعود أصول الخلل إلى ضعف في توليد المفاتيح التشفيرية لثمانية سلطات شهادات فرعية تابعة لشركة eMudhra الهندية المزودة للخدمات الرقمية. وكشف الباحثون الأمنيّون في السابع عشر من أكتوبر أن المفاتيح الخاصة لتلك الشهادات أُنشئت باستخدام درجة غير كافية من العشوائية، مما جعل استردادها رياضيًا أمرًا ممكنًا عبر المعلومات المتاحة علنًا.

وأوضحت التقارير الصادرة عن شركة Microsoft أن ستًا من تلك الشهادات كانت تُستخدم لتأمين الاتصالات عبر شبكة الإنترنت، بينما ارتبطت الشهادتان المتبقيتان بتوقيع البرمجيات. ورغم أن شركة eMudhra قامت بإلغاء الشهادات المتأثرة في الثامن عشر من أكتوبر، كما حظرت شركة Microsoft الاتصال بها عبر تحديثات نظام Windows، إلا أن الخلل بقي قائمًا بالنسبة لشبكة إيثريوم.

لماذا تأثرت برمجيات إيثريوم بالشهادات الملغاة؟

تكمن المشكلة في اعتماد برامج إدارة العقد على بيئة تشغيل Java، والتي لا تتفقد حالة إلغاء الشهادات بشكل افتراضي عند التحقق من الاتصالات المشفّرة. ونتيجة لذلك، واصلت المنصات التي تعتمد على تلك البيئة قبول الشهادات المزورة حتى بعد إلغائها رسميًا، مما أوجد ثغرة تسمح بإجراء اتصالات خبيثة عبر بروتوكول HTTPS.

سيناريوهات الهجوم المحتملة على مكافآت المدققين

حددت التنبيهات الأمنية الصادرة عدة سيناريوهات كان يمكن للمهاجمين استغلالها عبر اعتراض الاتصالات المشفّرة، ومن أبرزها:

• انتحال صفة عقدة الإشارة (Beacon Node): تتيح للمهاجم تزوير بيانات الكتلة أثناء إعدادها، مما يؤدي إلى توجيه رسوم المعاملات والمكافآت إلى عنوان يسيطر عليه المهاجم.
• استهداف خدمات التوقيع الخارجي: قد تمكّن المهاجم من الحصول على توقيعات حساسة تتعلق بخروج المدققين، على الرغم من أن بعض الإعدادات المتقدمة تحد من هذا الخطر ليقتصر على تعطيل الخدمة فقط.
• الاعتراض عبر بروتوكولات التنفيذ: التأثير على الاتصالات المتبادلة مع أدوات بناء الكتل والمرحّلات وخدمات جلب البيانات المرجعية.

وأكد الخبراء أن بروتوكولات الاتصال المباشر بين الأقران (P2P) في شبكة إيثريوم لم تتأثر بالخلل، نظرًا لعدم اعتمادها على سلطات الشهادات الخارجية المذكورة.

تحديثات إيثريوم المتاحة وكيفية تطبيقها

أطلقت فرق التطوير إصدارات جديدة لمعالجة المشكلة بشكل جذري عبر إزالة الشهادات المقتطعة من الحزم المعتمدة:

الإصدارات والتحديثات البرمجية

أصدر مطورو برنامج Teku الإصدار رقم 26.10.3 في السابع والعشرين من أكتوبر، بينما أطلق مطورو برنامج Besu الإصدار رقم 26.10.2 قبل ذلك بيوم واحد. وتضمنت هذه التحديثات حذف أربعة جذور شهادات متأثرة من صور نظام Docker المعتمدة لتشغيل العقد.

تعليمات مهمة لمشغلي العقد

وشدد المطورون على أن التحديثات التلقائية لصور نظام Docker لا تقوم بتحديث بيئة Java المثبتة محليًا على الأجهزة المستقلة. ولذلك يجب على المشغلين اتخاذ الخطوات التالية:

• مراجعة بيئة تشغيل Java المثبتة وتحديث شهادات التوثيق المعتمدة فيها بشكل يدوي.
• الانتقال من بيئة Java 26 إلى بيئة Java 25 للمستخدمين الذين يعتمدون عليها، نظرًا لوصول الإصدار 26 إلى نهاية دورة حياته وعدم حصوله على الترقية الأمنية المطلوبة.
• فحص إعدادات شبكات الاختبار التي تقوم بتنزيل الحالة الأولى للكتل عبر اتصالات HTTPS المشفّرة.

تطورات سابقة وتحديثات البنية التحتية

تأتي هذه التحديثات بالتزامن مع إجراءات أمنية شهدتها البنية التحتية للشبكة مؤخرًا. فقد بدأت منصة MetaMask في سحب أصولها من بعض المدققين إثر حادث أمني سابق، كما أصلح المطورون الخلل المتعلق بإيداعات المدققين في ترقية Glamsterdam القادمة.

تجدر الإشارة إلى أن ترقية Glamsterdam تواجه تأجيلات بعد إرجاء تفعيلها على شبكة الاختبار Hoodi لدراسة توافق العقود الذكية مع معيار EIP-8037، مع مقترح لزيادة حد الغاز إلى 200 مليون، دون تحديد موعد رسمي جديد لإطلاقها حتى الآن.