Группа Cardano призывает операторов пулов обновить системы из-за серьезного уязвимости в Linux

Основные моменты статьи

• На 30 октября исправления для Ubuntu и RHEL не предоставлены
• Около 21,3 миллиарда ADA делегировано, предполагаемое влияние в основном на вознаграждения

Запрос на обновление и перезагрузку для SPO

Организация Intersect, поддерживающая управление Cardano (ADA), в своем еженедельном обновлении от 30 октября призвала операторов стейк-пулов (SPO) отреагировать на серьезную уязвимость в ядре Linux «CVE-2026-98432». Операторам рекомендуется проверить версии ядра как на серверах генерации блоков, так и на релейных серверах, и применить исправления, как только их выпустит используемая дистрибуция, а затем перезагрузить системы.

Серьезность уязвимости, оцененная по шкале CVSS, составляет 9,8 из 10, что классифицирует ее как «критическую». Уязвимость связана с обработкой входящих IPv4 TCP-соединений, и в случае эксплуатации сервер может остановиться, а в некоторых условиях может быть управляем без аутентификации. Уязвимость затрагивает версии ядра начиная с 4.4. Уведомление Intersect не зафиксировало случаев эксплуатации, нацеленных на пулы Cardano.

Cardano использует механизм консенсуса Proof of Stake (PoS), при котором держатели ADA делегируют свои токены в стейк-пулы, а операторы пулов (SPO) занимаются генерацией блоков. Многие SPO работают на серверах Linux, поэтому данное предупреждение адресовано не обычным держателям, а операторам.

Основное ядро Linux (upstream) было исправлено в начале октября. Однако реакция со стороны дистрибуций, которые фактически используют SPO, варьируется: на 30 октября Ubuntu находится в процессе исправления, Red Hat Enterprise Linux (RHEL) готовит исправление, а AlmaLinux предоставляет исправленное ядро только в тестовом репозитории. Intersect призывает не предполагать, что ваша среда уже исправлена, и проверять каждый сервер.

Anthropic сообщает о создании кода атаки

Перед данным предупреждением американская AI-компания Anthropic в исследовательском отчете, опубликованном 27 октября, сообщила, что не опубликованная исследовательская модель Claude создала код атаки, использующий эту уязвимость. Целью стали Linux-серверы, ожидающие соединений по протоколу «Multipath TCP (MPTCP)», и в тестовой среде это привело к выполнению команд с правами администратора (root) примерно за 53 минуты.

Anthropic сообщила, что уязвимость была сообщена до публикации, и сам код атаки не был опубликован. Исправления были отражены во всех стабильных версиях ядра, находящихся на обслуживании. В записях CVE ядра и патчах исправлений не упоминается MPTCP, и на данный момент третьи лица не проверили содержание отчета компании.

Предполагаемое влияние на делегированные ADA связано с вознаграждениями

При делегировании ADA токены не перемещаются из кошелька держателя, и в течение делегирования их можно отправлять в любое время. Даже если сервер пула будет захвачен, механизм делегирования не позволяет напрямую украсть ADA делегаторов. На 31 октября делегировано около 21,3 миллиарда ADA, что составляет примерно 57% от общего объема обращения (по данным Cardanoscan).

Основная обеспокоенность касается вознаграждений. Если сервер остановится и генерация блоков приостановится, вознаграждения, получаемые пулом и делегаторами, уменьшатся. В ноябре 2025 года в Cardano произошел другой сбой, в результате которого цепочка временно разветвилась, но средства пользователей не пострадали. Что касается данной уязвимости, связь с утечкой средств или потерей вознаграждений не была подтверждена.

Этот контент предоставляется исключительно в общих информационных целях и не является финансовым, инвестиционным, юридическим или налоговым советом. Любые мероприятия, вознаграждения, онлайн-акции или связанная с ними информация, упомянутые в настоящем документе, не должны рассматриваться как рекомендация, приглашение к покупке, продаже, торговле или иной сделке с какими-либо криптоактивами. Криптоактивы очень волатильны и могут привести к убыткам. Доступность услуг, продуктов WEEX и связанных с ними событий может варьироваться в зависимости от региона. Вы несете ответственность за обеспечение того, чтобы ваше участие соответствовало применимым местным законам и нормативным актам.