Agora · Seguranca
Obol exige atualização do Charon após comprometimento de autoridade certificadora
Obol pediu em 21 de outubro que os operadores de mainnet atualizem o cliente Charon para a v1.11.2, patch ligado ao comprometimento de certificados da eMudhra; 422.862 ETH estão em clusters da Obol.
Um patch urgente de middleware de staking em Ethereum chegou ao público nesta terça-feira (21), depois do comprometimento de certificados de uma autoridade certificadora intermediária. A Obol Network pediu que os operadores de sua mainnet atualizem o cliente Charon para a versão v1.11.2, lançada no mesmo dia, e parem de operar com a versão anterior.
O que muda na v1.11.2 é a checagem de certificados. A versão sobe a linguagem Go subjacente ao Charon, o que altera a forma como o cliente valida certificados e corrige vulnerabilidades conhecidas ligadas ao comprometimento. A imagem Docker usada para operar o Charon também passou a desconfiar de raízes específicas: o software recusa validar emissores que antes aceitava.
O incidente mais amplo foi reportado por volta de 17 de outubro e recebeu o identificador CVE-2026-111943. Mozilla, Google, Apple e Microsoft já bloquearam as raízes afetadas. A diferença entre os dois públicos é a função: navegadores protegem quem lê sites, enquanto o Charon protege as máquinas que coordenam validadores de Ethereum.
O Charon é o middleware de validadores distribuídos da Obol. Em vez de um operador rodar um validador sozinho, vários operadores compartilham a tarefa de forma tolerante a falhas, com a chave do validador dividida em partes pela geração distribuída de chaves (DKG), de modo que a chave privada completa nunca fica em um único lugar. A comunicação entre os detentores de cada parte, porém, depende de infraestrutura de confiança, e é aí que a validação de certificado entra.
O tamanho da exposição aparece no último snapshot diário da Obol: os saldos dos clusters de mainnet somavam 422.862 ETH. A Obol afirma que os fundos não correm risco neste momento e que nada na divulgação indica que tenham sido afetados.
O que já vale é o patch, publicado e disponível desde o dia 21. O que continua sendo tarefa do operador: clusters que seguem em versão anterior continuam confiando em raízes de certificado que os grandes navegadores e sistemas operacionais já bloquearam, e a atualização traz mudanças na toolchain Go e na imagem Docker. Auditorias anteriores do projeto, feitas por Trail of Bits e Quantstamp, cobriram áreas como a geração distribuída de chaves e a gestão de chaves. Entre o reporte do incidente, por volta de 17 de outubro, e o lançamento da correção, no dia 21, passaram-se quatro dias.