Tóm tắt nhanh: Một sai sót nghiêm trọng về khoá và chứng chỉ tại eMudhra – nhà cấp chứng chỉ số của Ấn Độ – đã khiến một số cấu hình chạy Teku và Besu tin tưởng vào các chứng chỉ giả mạo. Các client Ethereum đã tung bản vá để bịt lỗ hổng này. Điểm đáng chú ý: các node mainnet chạy cấu hình mặc định không nằm trong diện phơi nhiễm. Rủi ro chủ yếu rơi vào những thiết lập tuỳ chỉnh có bổ sung nhà cấp chứng chỉ này vào danh sách tin cậy. Nếu bị khai thác, kẻ tấn công có thể chen vào giữa kết nối và chuyển hướng luồng phần thưởng ETH. Dưới đây là diễn biến sự cố, phạm vi ảnh hưởng và những việc người vận hành node cần làm.
Chuyện gì đã xảy ra?
Sự việc bắt nguồn từ một sai sót về khoá và chứng chỉ tại eMudhra, nhà cung cấp chứng chỉ số của Ấn Độ. Lỗi này khiến một số thiết lập chạy Teku và Besu tin tưởng các chứng chỉ giả mạo, tức là chấp nhận chúng như chứng chỉ hợp lệ dù chúng không do bên đáng tin cậy phát hành.
Nhà cấp chứng chỉ (CA) là tổ chức đứng ra xác thực danh tính và phát hành chứng chỉ số (TLS) cho tên miền, máy chủ. Phần mềm tin tưởng một CA nào thì cũng sẽ tin tưởng mọi chứng chỉ do CA đó ký — vì vậy một sai sót ở phía CA có thể lan ảnh hưởng rất rộng.
Teku và Besu là hai client Ethereum: Teku là client đồng thuận (consensus client), còn Besu là client thực thi (execution client). Nói cách khác, đây là phần mềm mà một node Ethereum chạy để tham gia vào mạng lưới.
Tấn công xen giữa (man-in-the-middle) là kịch bản kẻ tấn công đứng giữa hai bên trong một kết nối, giả làm máy chủ với phía máy khách và giả làm máy khách với phía máy chủ, qua đó đọc và chỉnh sửa dữ liệu mà hai bên không hề hay biết.
Mainnet là mạng Ethereum chính thức, nơi các giao dịch và phần thưởng có giá trị thật, phân biệt với các mạng thử nghiệm (testnet).
Vì sao lỗi chứng chỉ lại liên quan đến phần thưởng ETH?
Một node Ethereum phải liên tục trao đổi dữ liệu với các máy chủ khác qua kết nối được bảo vệ bằng chứng chỉ số. Khi chứng chỉ giả mạo bị chấp nhận, kẻ tấn công có thể xen vào giữa kết nối và thao túng luồng dữ liệu, trong đó có những thông tin quyết định phần thưởng ETH được gửi về đâu. Đây chính là lý do lỗi tưởng như rất “hạ tầng” này lại được xếp vào nhóm rủi ro tài chính trực tiếp với người vận hành validator.
Cần lưu ý rằng thông tin công bố ban đầu chưa mô tả chi tiết kỹ thuật của kịch bản khai thác, nên mức độ ảnh hưởng thực tế phụ thuộc vào cách từng hệ thống được cấu hình.
Phạm vi ảnh hưởng
- Node mainnet chạy cấu hình mặc định: không bị phơi nhiễm.
- Một số thiết lập Teku và Besu có tin tưởng chứng chỉ liên quan đến eMudhra: nằm trong diện bị ảnh hưởng và cần được vá.
- Bản vá: đã được các client liên quan phát hành để xử lý lỗ hổng.
- Nguồn gốc sự cố: sai sót về khoá và chứng chỉ từ phía nhà cấp chứng chỉ eMudhra, không phải lỗi trong logic đồng thuận của Ethereum.
Người vận hành node nên làm gì?
- Cập nhật Teku và Besu lên phiên bản đã có bản vá càng sớm càng tốt.
- Rà soát lại danh sách nhà cấp chứng chỉ được tin cậy trong hệ thống, loại bỏ những mục không thực sự cần thiết.
- Kiểm tra lại cấu hình nhận phần thưởng và phí giao dịch để chắc chắn không có thay đổi bất thường.
- Ưu tiên cấu hình mặc định do đội phát triển client khuyến nghị thay vì tuỳ chỉnh sâu nếu không có nhu cầu đặc biệt.
Câu hỏi thường gặp
Node Ethereum chạy cấu hình mặc định có bị ảnh hưởng không?
Không. Các node mainnet sử dụng cấu hình mặc định không nằm trong diện phơi nhiễm. Rủi ro chủ yếu thuộc về những thiết lập tuỳ chỉnh có tin tưởng chứng chỉ liên quan đến eMudhra.
Teku và Besu là gì?
Đây là hai client Ethereum: Teku là client đồng thuận, còn Besu là client thực thi — tức phần mềm mà một node chạy để tham gia mạng Ethereum.
Vì sao một lỗi chứng chỉ lại có thể khiến phần thưởng ETH bị chuyển hướng?
Khi chứng chỉ giả mạo được chấp nhận, kẻ tấn công có thể xen vào giữa kết nối (tấn công man-in-the-middle), thao túng dữ liệu trao đổi và từ đó tác động tới nơi phần thưởng ETH được gửi đến.
Tôi cần làm gì để bảo vệ node của mình?
Hãy cập nhật Teku và Besu lên bản vá mới nhất, rà soát danh sách nhà cấp chứng chỉ được tin cậy và kiểm tra lại cấu hình nhận phần thưởng, phí giao dịch của validator.
eMudhra là tổ chức nào?
eMudhra là nhà cấp chứng chỉ số của Ấn Độ. Chính sai sót về khoá và chứng chỉ tại tổ chức này là nguồn gốc của sự cố.
Dịch và biên tập lại theo nguồn: CoinDesk Altcoin
Theo Nghị quyết số 05/2025/NQ-CP ngày 09/09/2025 của Chính phủ về việc thí điểm triển khai thị trường tài sản số tại Việt Nam, Tienmahoa.Net hiện chỉ cung cấp thông tin cho độc giả quốc tế và không phục vụ người dùng tại Việt Nam cho đến khi có hướng dẫn chính thức từ cơ quan chức năng.
