Критична вразливість Linux у серверах Cardano: що загрожує стейкінгу ADA
Координаційна група Intersect, що опікується Cardano, 30 жовтня застерегла операторів стейкінг-пулів від критичного дефекту CVE-2026-98432 у Linux. Під потенційним ризиком опиняються вузли, які забезпечують стейкінг приблизно 21,5 млрд ADA, що становить майже 58% поточної пропозиції.
Що саме виявили в Linux
Intersect передала операторам пулів попередження про вразливість CVE-2026-98432 у ядрі Linux. Рівень критичності дефекту оцінено в 9,8 із 10.
Значна частина серверів, які формують блоки Cardano, працює на Linux. Завдяки спеціально підготовленим зверненнях із мережі зловмисник може порушити роботу пам’яті сервера. Наслідком може стати зупинка обладнання, а за певних налаштувань і віддалений доступ без перевірки особи.
Як вразливість перевірили на практиці
Наприкінці жовтня компанія Anthropic розповіла, що її модель Claude AI відтворила схожу атаку на сервери з multipath TCP. Експеримент тривав 53 хвилини. Після цього з’явився публічний тестовий код, але повного контролю над сервером ніхто не підтвердив.
Раніше, у листопаді минулого року, окрема помилка на короткий час розділила блокчейн Cardano на дві гілки. Втрат користувацьких активів тоді не було.
Чи загрожує вразливість коштам делегаторів
Учасники делегують ADA пулам, які створюють блоки й отримують винагороди. Сам токен при цьому залишається у власника.
Ваші ada зберігаються на вашому гаманці та залишаються доступними для використання у будь-який момент
команда Cardano
Компрометація пулу не дає зловмисникам доступу до активів делегаторів. Водночас вимкнення серверів може зменшити кількість створених блоків і знизити стейкінгові виплати.
Наразі жодного викрадення коштів або втрати виплат, пов’язаних із цією вразливістю, не виявлено. Ціна ADA теоретично може зазнати тиску за масштабних збоїв, але прямого зв’язку з ринком не встановлено.
Статус виправлень у дистрибутивах Linux
| Дистрибутив | Статус станом на 30 жовтня |
|---|---|
| Linux (upstream) | Виправлено 5 жовтня |
| Ubuntu | Уразливість актуальна, виправлення готуються |
| Red Hat Enterprise Linux | Виправлення очікується |
| AlmaLinux | Патчі проходять тестування |
Що це означає для операторів пулів і делегаторів
- Оператори мають перевірити налаштування серверів, оновити програмне забезпечення та перезапустити системи після встановлення патчів.
- Нерівномірне поширення виправлень означає, що ризик лишається, доки дистрибутиви не випустять оновлення.
- Для делегаторів головний наслідок — можливе зниження винагород, а не втрата ADA.
Примітка редакції: Обсяг стейкінгу 21,5 млрд ADA і частка близько 58% наведені в джерелі з позначками «приблизно» і «майже» і не уточнені.
Примітка редакції: Статуси виправлень актуальні станом на 30 жовтня; у джерелі немає даних про їх зміну після цієї дати.
Часті питання
Чи можуть викрасти ADA через вразливість Linux у Cardano?
За повідомленням команди Cardano, ADA залишається у гаманці власника, а компрометація інфраструктури пулу не дає контролю над активами делегаторів. Наразі крадіжок коштів, пов’язаних із цією вразливістю, не виявлено. Головний ризик полягає у зупинці серверів і скороченні стейкінгових виплат.
Яка оцінка критичності вразливості CVE-2026-98432?
Intersect попередила про вразливість 30 жовтня. Рівень критичності становить 9,8 із 10. Дефект дозволяє через спеціально підготовлені запити порушити роботу пам’яті сервера, що може призвести до зупинки обладнання або, за певних налаштувань, до віддаленого доступу без перевірки особи.
Чи атакували вже пули Cardano через цю вразливість?
Станом на зараз жодна атака на пул Cardano не зафіксована. Компанія Anthropic повідомила, що її модель Claude AI відтворила схожу атаку на сервери з multipath TCP за 53 хвилини, але повного контролю над сервером ніхто не підтвердив.
Які Linux-дистрибутиви вже отримали патчі?
Станом на 30 жовтня upstream-ядро Linux виправлено 5 жовтня. Ubuntu готує виправлення, для Red Hat Enterprise Linux воно очікується, а AlmaLinux тестує патчі. Оператори мають оновити програмне забезпечення та перезапустити системи після застосування виправлень.
Раніше ми писали
Джерела
