Se comprometieron las claves privadas de ocho certificados intermedios de eMudhra (seis TLS y dos de firma de código). Fireblocks dice que su plataforma no los usaba y que, por ahora, no hay impacto en clientes. Aun así publica versiones actualizadas de su Key Link Agent, su SDK de Python, su herramienta de recuperación y el Co-Signer
Ocho certificados CA intermedios de eMudhra tienen las claves privadas comprometidas. Seis son certificados intermedios TLS. Cualquiera puede usarlos para falsificar certificados HTTPS que suplanten la identidad de cualquier sitio web ante clientes que aún confíen en ellos. Los otros dos son certificados intermedios de firma de código. Los navegadores han bloqueado los certificados. Sin embargo, muchos clientes fuera del ecosistema de navegadores nunca verifican los datos de revocación, por lo que seguirán confiando en ellos hasta que alguien los actualice. Se desconoce públicamente si los atacantes explotaron esta vulnerabilidad contra dichos clientes.
¿Quién debe actuar?
Si utilizas el agente de Fireblocks para Key Link , actualiza a la versión 2.4.4 ahora. Si aún usas el SDK de Python anterior, actualiza a la versión 2.19.1 o cambia al SDK de Python actual. Los demás usuarios deben seguir las secciones que se indican a continuación, pero estas dos son las más importantes.
Cómo estamos respondiendo
Plataforma
Estamos reforzando la seguridad de la plataforma Fireblocks actualizando nuestras imágenes base y todo el software y las aplicaciones que utilizan su propio almacén de confianza. También eliminamos los certificados eMudhra afectados de los flujos correspondientes y estamos revisando nuestro entorno corporativo para asegurarnos de eliminar cualquier posible uso de dichos certificados. Nuestros enclaves seguros también validan los certificados con una lista de autoridades de certificación previamente revisada. eMudhra no figuraba en esa lista.
Lo que encontramos
Revisamos la plataforma Fireblocks para detectar el uso de los certificados afectados y no encontramos ninguno. Nuestra investigación hasta la fecha no ha revelado ningún impacto en los activos, las comunicaciones ni los fondos de los clientes a raíz del incidente con el certificado eMudhra.
Proveedores externos
Trabajamos con proveedores externos que mantienen su propia configuración de confianza. Nos hemos puesto en contacto con ellos y estamos colaborando activamente para confirmar el estado de sus actualizaciones. Este trabajo continúa.
Software que ejecutas
El software que usted ejecuta tiene su propia configuración de confianza, por lo que los cambios de plataforma mencionados anteriormente no lo afectan. Hemos publicado paquetes actualizados para dicho software. A continuación, encontrará el desglose por componente, con la versión que debe instalar.
Lo que debes hacer
Controlador de devolución de llamada del cofirmante. La necesidad de actuar depende de cómo se autentique la devolución de llamada. Fireblocks admite varios modos de autenticación de devolución de llamada , y cada ancla confía de manera diferente.
| Modo de autenticación de devolución de llamada | En lo que confían los anclas | Qué comprobar |
|---|---|---|
| Fijación de certificados | El certificado que usted proporcionó al cofirmante | Confirme que el certificado anclado sea el que usted proporcionó. |
| Certificado de CA raíz | La CA raíz que proporcionaste al cofirmante | Confirme que la raíz es suya y que no es una raíz afectada de emSign o de los Servicios de Certificados AAA. |
| autenticación de clave pública | Una CA pública firma el certificado TLS de su servidor de devolución de llamada, y los mensajes se firman mediante JWT. | Actualizar a la última imagen de cofirmante (21/10/2026) |
La nueva imagen de Co-Signer, versión 21.10.2026 , ya no incluye los certificados afectados. Para los modos de fijación y CA raíz, estos certificados no se utilizan, por lo que se recomienda actualizarlos como parte del mantenimiento rutinario.
Actualice el siguiente software utilizado por el cliente:
- Agente Fireblocks para Key Link: actualice a la versión 2.4.4 .
- SDK de Python heredado: actualice a la versión 2.19.1 o migre al SDK de Python actual y actualice su imagen base o host como se describe a continuación.
- Utilidad de recuperación: descargue el kit de recuperación más reciente (v1.8.9) a través de la consola de Fireblocks antes de su próxima recuperación o prueba de recuperación.
Todo lo demás
Para todo lo demás, incluido el código que implementa que utiliza el almacén de confianza del sistema operativo, actualice sus imágenes base y sistemas operativos host a una versión con el almacén de confianza revisado. Actualice también el paquete CA que utiliza su entorno de ejecución de lenguaje. Por ejemplo, Python certifi 2026.10.19 o posterior, y Go 1.27.3 o 1.26.10. Recompile, vuelva a implementar y reinicie los servicios de larga duración. Consulte el rastreador de paquetes parcheados para su entorno de ejecución.
Recibe lo mejor de la semana en tu email
Cada lunes, las noticias más leídas de Territorio Blockchain, el nuevo episodio del podcast y las novedades de nuestros eventos. Gratis y sin spam.
Te enviaremos un email para confirmar el alta. Puedes darte de baja cuando quieras con el enlace que lleva cada newsletter. Privacidad
