La clave de eMudhra revela un riesgo para navegadores y herramientas de criptomonedas
Mozilla, Chrome, Apple y Microsoft desplegaron rápidamente bloqueos. Las claves comprometidas de eMudhra también pueden afectar el tráfico API de exchanges, wallets y bots.
Puntos clave
- Ocho claves privadas de eMudhra resultaron comprometidas, lo que permitió crear certificados falsificados para sitios web.
- Los navegadores y los desarrolladores de software desplegaron rápidamente correcciones de emergencia; Mozilla, Chrome, Apple y Microsoft bloquearon los certificados implicados.
- Las herramientas de criptomonedas que usan certificados para exchanges y wallets corren riesgo, aunque todavía no se han reportado ataques cripto.
Los navegadores y los desarrolladores de software han desplegado correcciones de emergencia después de que se comprobara que ocho claves privadas de eMudhra, una autoridad de certificación india, habían sido comprometidas. El caso no solo afecta a la seguridad web, sino también a herramientas de criptomonedas que se comunican mediante certificados con exchanges, wallets y otros servicios.
Qué ocurrió exactamente
El aviso llegó el 17 de octubre por parte del investigador Wayne. Para demostrar el fallo, utilizó las ocho claves comprometidas para firmar digitalmente su advertencia. Según el aviso, las claves podían usarse para crear certificados aparentemente válidos para sitios web.
Esto es arriesgado, porque los navegadores y otros programas confían en los certificados digitales para comprobar si un sitio es auténtico. Según The Register, eMudhra ha emitido más de 60 millones de certificados. Si se filtra o se descifra una clave privada de una autoridad de certificación, un atacante puede falsificar certificados que parezcan fiables.
Por qué deben prestar atención los usuarios de criptomonedas
Para los usuarios de criptomonedas, esto es especialmente relevante fuera del navegador. Muchos bots de exchange, scripts de trading y backends de wallets se ejecutan en Python, Node o Go y confían en la misma cadena de certificados para mantener seguro el tráfico. Un certificado falso para una API de exchange podría, en teoría, permitir que el tráfico en la misma red sea interceptado o modificado.
Hasta ahora no se han reportado ataques cripto ni ataques contra usuarios. Mozilla advirtió que los interceptores de red con estos certificados falsos pueden imitar sitios de confianza y así leer o modificar datos.
Correcciones rápidas, preguntas abiertas
Mozilla activó un bloqueo en unas tres horas tras el aviso. Chrome bloqueó los certificados ese mismo día, Apple siguió el 19 de octubre y Microsoft el 20 de octubre. eMudhra también revocó los certificados implicados.
Aún no está claro cómo se filtraron exactamente las claves. Los investigadores afirman que eMudhra utilizó claves privadas extremadamente débiles, como números pequeños en lugar de valores aleatorios fuertes de 384 bits. Scott Helme dijo que pudo extraer las ocho claves de certificados públicos en menos de un segundo y que ya eran visibles desde abril de 2025. Según sus pruebas, herramientas como curl, Python, Node, Go y Java aceptaron un certificado falsificado para la API de Stripe, aunque ya hay correcciones disponibles para Go, el paquete certifi de Python y webpki-roots de Rust. Node.js seguía vulnerable en la última comprobación.
