اوبول خواستار ارتقای فوری شارون پس از لو رفتن کلید CA شد

شبکه اوبول اپراتورهای مین‌نت را به روزرسانی فوری فرا می‌خواند

شبکه اوبول (Obol Network) از اپراتورهای مین‌نت خود خواسته است تا فعالیت‌های خود را متوقف کرده و نرم‌افزار خود را به‌روزرسانی کنند. این پروژه در تاریخ ۲۱ اکتبر ۲۰۲۶، وصله اضطراری Charon v1.11.2 را منتشر کرده است که به حادثه نفوذ به گواهی‌نامه‌های مرجع صدور گواهی (CA) واسطه مرتبط با حادثه eMudhra مربوط می‌شود.

اهمیت این موضوع کم نیست. طبق آخرین گزارش روزانه، مجموع دارایی‌های قفل شده در خوشه‌های مین‌نت اوبول به ۴۲۲,۸۶۲ اتر (ETH) می‌رسد و این سرمایه از طریق همان کلاینتی که در حال وصله شدن است، پردازش می‌شود.

این به‌روزرسانی بر اعتبارسنجی گواهی‌نامه‌ها تمرکز دارد. نسخه زبان برنامه‌نویسی Go که زیربنای Charon است، ارتقا یافته و این امر نحوه بررسی گواهی‌نامه‌ها توسط کلاینت را بهبود می‌بخشد و آسیب‌پذیری‌های شناخته شده مرتبط با نفوذ به CA را برطرف می‌کند. همچنین، ریشه‌های گواهی‌نامه‌های خاصی در تصویر Docker که اپراتورها برای استقرار Charon استفاده می‌کنند، غیرقابل اعتماد اعلام شده‌اند. به عبارت ساده‌تر، نرم‌افزار اکنون از تأیید صادرکنندگان گواهی‌نامه‌ای که قبلاً می‌پذیرفت، خودداری می‌کند.

اوبول قویاً به اپراتورهای مین‌نت که از کلاینت Charon مبتنی بر Go استفاده می‌کنند، توصیه می‌کند که فوراً به‌روزرسانی کنند.

این حادثه گسترده‌تر در حدود ۱۷ اکتبر ۲۰۲۶ گزارش شد و با شناسه CVE-2026-111943 دسته‌بندی شده است. شناسه‌های CVE شماره‌های استاندارد کاتالوگ هستند که دنیای امنیت برای ردیابی آسیب‌پذیری‌های عمومی افشا شده از آن‌ها استفاده می‌کند.

شرکت‌های موزیلا (Mozilla)، گوگل (Google)، اپل (Apple) و مایکروسافت (Microsoft) اقداماتی را برای مسدود کردن ریشه‌های CA تحت تأثیر قرار گرفته انجام داده‌اند. وصله اوبول، Charon را در راستای این واکنش صنعتی قرار می‌دهد. تفاوت این است که مرورگرها از افراد در هنگام مشاهده وب‌سایت‌ها محافظت می‌کنند، در حالی که Charon از ماشین‌هایی که اعتبارسنج‌های اتریوم را هماهنگ می‌کنند، محافظت می‌نماید.

Charon میان‌افزاری برای اعتبارسنج‌های توزیع شده است. به جای اینکه یک اپراتور به تنهایی یک اعتبارسنج را اجرا کند، Charon به چندین اپراتور اجازه می‌دهد تا وظیفه را در یک پیکربندی تحمل‌پذیر در برابر خطا به اشتراک بگذارند. این کار از طریق تولید کلید توزیع شده (DKG) انجام می‌شود. این تکنیک کلید اعتبارسنج را به بخش‌هایی تقسیم می‌کند که بین اپراتورها توزیع می‌شوند، بنابراین کلید خصوصی کامل هرگز در یک مکان قرار نمی‌گیرد.

این طراحی نقاط شکست منفرد را کاهش می‌دهد. اما ارتباط بین دارندگان کلید همچنان به زیرساخت اعتماد متکی است، که دقیقاً جایی است که اعتبارسنجی گواهی‌نامه وارد عمل می‌شود.

اوبول در طول عمر خود به شدت بر بررسی‌های خارجی تکیه کرده است. این پروژه چندین حسابرسی را پشت سر گذاشته است، از جمله کارهایی توسط شرکت‌هایی مانند Trail of Bits و Quantstamp که بر حوزه‌هایی مانند DKG و مدیریت کلید تمرکز داشته‌اند.

برای اپراتورهای نود، اقدام لازم ساده است: ارتقا به نسخه v1.11.2. هر خوشه‌ای که هنوز از نسخه قدیمی‌تر استفاده می‌کند، همچنان به ریشه‌های گواهی‌نامه‌ای اعتماد می‌کند که فروشندگان اصلی مرورگر و سیستم عامل آن‌ها را مسدود کرده‌اند.

برای استیکرها (stakers) که اتر آن‌ها در خوشه‌های مبتنی بر اوبول قرار دارد، رقم ۴۲۲,۸۶۲ اتر، میزان در معرض خطر را نشان می‌دهد. این تراز به این معنی نیست که وجوه در حال حاضر در معرض خطر هستند و هیچ چیزی در این افشا بیان نمی‌کند که وجوهی تحت تأثیر قرار گرفته باشند.

سرعت واکنش، سیگنال دیگری است که شایان ذکر است. نفوذ به CA در حدود ۱۷ اکتبر گزارش شد و اوبول در ۲۱ اکتبر وصله خود را منتشر کرد. برای زیرساختی که باید با به‌روزرسانی‌های ابزار Go و تغییرات تصویر Docker سازگار شود، یک دوره چهار روزه، عملکرد قابل قبولی محسوب می‌شود.