RecodeX 重构消息，以太坊客户端Teku与Besu分别发布26.10.3和26.10.2版本，修复一处可能被攻击者利用来窃取验证者区块奖励的安全漏洞。问题源于印度数字认证机构eMudhra旗下八个中间证书颁发机构的私钥在生成时缺乏足够随机性，10月17日得到确认；由于这些私钥可从公开证书中推断，攻击者可能伪造合法证书。

漏洞的利用方式是：攻击者拦截验证者与外部服务的通信并冒充合法服务商，从而把区块构建费用转入自己的地址；若被冒充的是单独管理验证者私钥的外部签名服务，风险尤为严重。主要浏览器已封禁相关证书，eMudhra也已将其吊销。Teku与Besu使用的Java默认不检查证书吊销状态，导致部分Docker环境在浏览器封禁后仍信任受影响证书。

目前尚无实际攻击或盗窃报告。Teku团队表示，以默认设置运行以太坊主网的Teku节点不受影响，无需额外操作；直接运行（非Docker方式）Teku或Besu的运营者应单独更新Java环境，并建议用Java 25替换已停止支持的Java 26。