이더리움 Teku·Besu 보안 패치 — 인도 인증기관 키 유출 대응

AI가 쓴 글이에요. 출처를 바탕으로 자동으로 작성·발행돼요. 사람이 검수하지 않으니 사실과 다를 수 있어요. 중요한 내용은 아래 출처 링크에서 원문을 확인해 주세요.

인도 인증기관 eMudhra의 중간 인증서 8개에서 개인키가 새어 나갈 수 있는 문제가 드러나, 이더리움 클라이언트 Teku와 Besu가 보안 패치를 냈어요. 노드가 외부 서버와 HTTPS로 통신하는 설정이라면 가짜 서버에 속을 수 있어서, 운영자는 Teku 26.10.3·Besu 26.10.2로 올리거나 자바를 업데이트해야 해요. 기본 설정으로 메인넷 노드를 돌리거나 거래소에 ETH를 맡겨 둔 분은 할 일이 없고, 지금까지 악용 사례는 보고되지 않았어요.

무슨 일이 있었나

인터넷에서 서버가 진짜인지 확인할 때 인증서를 써요. 인증서는 인증기관(CA)이 발급하고, 그 개인키가 새면 누구나 가짜 인증서를 만들 수 있어요.

Besu 팀 사고 보고서에 따르면 일정은 이래요.

날짜	일
2026년 10월 17일	eMudhra 중간 인증기관 8곳의 개인키를 공개 인증서에서 되찾을 수 있다는 사실이 드러남
2026년 10월 18일	해당 인증서 폐기
2026년 10월 20일	오픈JDK(자바)가 문제의 중간 인증서를 차단
2026년 10월 23일	오픈JDK가 eMudhra·Sectigo 루트 인증서 4개를 신뢰 목록에서 제거

제거된 루트는 emSign Root CA - G1, emSign Root CA - G2, emSign ECC Root CA - G3, AAA Certificate Services 4개예요.

문제가 이더리움으로 번진 이유는 Teku와 Besu가 자바로 만든 클라이언트라서예요. 자바에 들어 있는 인증서 목록을 그대로 믿기 때문에, 자바가 고쳐지기 전에는 가짜 인증서도 통과할 수 있었어요.

공격자가 할 수 있었던 일

Teku — 외부 서명기가 가장 위험

Teku 팀은 노드가 다른 서버에 HTTPS로 연결하면 영향을 받는다고 밝혔어요. 해당하는 연결은 아래와 같아요.

외부 서명기(검증자 키를 따로 보관하는 서버)
비컨 노드 API, 실행 클라이언트 연결
URL로 불러오는 제안자 설정, 빌더·릴레이 연결
체크포인트 싱크, 메트릭 전송 주소

Teku 팀은 이 중 외부 서명기를 가장 위험한 곳으로 꼽았어요. CoinDesk는 공격자가 노드가 연결하는 서비스를 흉내 내 블록 제안 보상을 자기 주소로 돌릴 수 있었다고 전했어요.

Besu — RPC 인증을 통과할 수 있었음

Besu 팀은 --rpc-http-tls-ca-clients-enabled 옵션을 켠 노드를 가장 심각한 경우로 꼽았어요. 이때 공격자는 클라이언트 인증을 통과해, 켜져 있는 RPC 기능을 추가 인증 없이 부를 수 있었어요. 관리자(ADMIN)·디버그(DEBUG) 기능도 포함돼요.

P2P 통신, DNS 탐색, JWT로 인증하는 엔진 API는 영향이 없다고 했어요.

노드 운영자가 할 일

구분	Teku	Besu
패치 버전	26.10.3	26.10.2
배포일(한국 시간)	2026년 10월 27일	2026년 10월 27일
도커 이미지	26.10.2 이하는 고쳐진 자바가 없음	26.10.2부터 문제 루트 제거
직접 설치	자바를 따로 업데이트	쓰는 JDK를 따로 점검·업데이트

도커로 돌리는 분은 최신 이미지로 바꾸면 돼요. 압축 파일로 직접 설치한 분은 쓰고 있는 자바가 여전히 이 루트를 믿고 있을 수 있어요. 오픈JDK 안내에 따라 자바를 업데이트해 보세요.

Teku 팀은 자바 26을 쓰고 있다면 장기 지원판인 자바 25로 옮기라고 안내했어요. 외부 서명기는 상호 TLS(양쪽이 서로 인증서를 확인하는 방식)를 쓰면 공격자가 요청을 중계할 수 없다고 했어요. 빌더는 릴레이에 바로 붙이지 말고 같은 서버의 mev-boost를 거치게 하면 위험이 낮다고 했어요.

영향 없는 경우

Teku 팀은 기본 설정의 메인넷 노드는 영향이 없고 할 일도 없다고 밝혔어요. 기본 설정은 설정 안에 https 주소가 하나도 없는 상태를 말해요. 로컬 파일이나 http 연결만 쓰는 노드도 해당하지 않아요.

국내 투자자에게는

업비트·빗썸 같은 거래소에 ETH를 맡겨 둔 분은 노드를 직접 돌리지 않아요. 이번 패치로 내가 할 일은 없어요. 지갑에 ETH를 들고만 있는 분도 마찬가지예요.

직접 검증자를 운영하는 분만 위 표대로 버전과 설정을 확인하면 돼요. 이번 일은 네트워크 규칙을 바꾸는 업그레이드가 아니라서, 거래소 입출금 중단 공지와도 관계없어요. 원화 시세와 해외 시세 차이가 궁금하면 ETH 김치 프리미엄에서 볼 수 있어요.

정리

인도 인증기관 eMudhra의 중간 인증서 8개 개인키가 새어 나갈 수 있는 상태였고, 10월 18일 폐기됐어요.
Teku 26.10.3·Besu 26.10.2가 문제의 루트 인증서를 빼는 패치를 냈고, 악용 사례는 아직 보고되지 않았어요.
기본 설정 메인넷 노드나 거래소·지갑에 ETH를 둔 분은 할 일이 없어요.

검증자를 직접 운영한다면 설정에 https 주소가 있는지부터 확인해 보세요.