Intersect警告Cardano(ADA)节点运营方:Linux漏洞评级高达9.8

Intersect向池运营方发出警报

10月30日,Cardano (ADA)治理协调组织Intersect向质押池运营方发出紧急提醒:一个严重的Linux漏洞可能导致出块服务器崩溃,在某些配置下甚至会让攻击者完全接管服务器。该漏洞编号为CVE-2026-98432,CVSS评分高达满分10分中的9.8分,影响范围可追溯到4.4版本的内核,详情见Intersect每周协调更新。Linux是大量维持区块链运转的服务器所依赖的底层系统,此漏洞的原理是:攻击者通过特制的网络请求扰乱服务器的内存处理机制。攻击一旦成功,轻则直接令机器宕机,重则在特定配置下让外部人员无需密码即获得完整控制权限。在CVSS评级体系中,9.8分意味着漏洞落入评审机构划定的最严重一档,这一档专门留给那些可以远程利用、且攻击门槛极低的缺陷。

此次警告的背景是Anthropic于10月27日发布的研究。该公司在报告中称,其Claude人工智能系统自主开发出了针对启用多路径TCP服务器(一种允许单一连接同时走多条网络路径的技术)的此类攻击。报告显示,自动化测试在53分钟内就产出了可用的攻击代码,见该公司的研究文章。此后网上出现了公开的测试代码,但尚不足以演示对服务器的完整接管。截至目前,没有报告显示Cardano池基础设施遭到攻击,市场数据也未表明Cardano价格受到直接冲击。由于Cardano的出块节点绝大多数运行在Linux服务器上,通知对象因此是池运营方而非普通持币人。该问题涉及基础设施层面,与账本本身无关,但Intersect仍将其作为紧急事项写入了每周协调更新,毕竟整个网络的出块恰恰依赖此类漏洞所针对的Linux机器。

Ubuntu与Red Hat修复进度落后

风险敞口的规模要从质押说起。Cardano采用权益证明机制,持币人将币委托给负责出块并赚取奖励的池,目前全网委托中的Cardano (ADA)约有215亿枚,占流通供应量的约58%。在这一安排下,币始终不会离开持有者自己的钱包,Cardano官方文档也明确说明,被委托的ADA随时可以动用。因此,即便某个池的服务器被劫持,攻击者也拿不到委托人币的所有权。池宕机则是另一回事:同一份文档指出,池的运行表现不佳会降低该池及其成员获得的奖励,也就是说,被此漏洞打垮的服务器会先在收益上造成损失,远早于本金层面。正是这种委托规模决定了警告首先发给运营方:漏洞真正冲击的是他们的在线率,而不是持币人的钱包安全。

各发行版的修复进度参差不齐,而池运营方实际使用的系统并不统一。上游Linux已于10月5日(星期一)完成修复;截至10月30日(星期五),Ubuntu仍未修复、补丁在制作中,Red Hat Enterprise Linux将修复列为待办状态,AlmaLinux的修复版内核则仍在测试中。这种差异之所以关键,在于池运营方并不运行同一个标准镜像,同一个漏洞在不同服务器上的暴露程度各不相同。Intersect敦促运营方检查自己的服务器、安装更新并重启,而不是想当然地认为所用发行版已经覆盖。此番情景让人想起去年11月:当时另一个漏洞曾令Cardano短暂分叉为两条链,那次事件同样以用户资金无损告终。目前没有任何被盗资金或奖励损失与当前漏洞挂钩,接下来的关注点是修复能否在Cardano池基础设施中快速铺开,在超过200亿枚委托量的背景下,在线率直接就是一笔经济账。正在评估自身配置的运营方与委托人可参考我们关于如何选择Cardano质押池的指南。

真正悬而未决的问题是实际暴露面,现有记录无法给出答案。上游内核补丁10月5日就已落地,但截至10月30日,Ubuntu与Red Hat的软件包仍未修复,残余风险因此集中在运行这两个发行版的运营方身上。目前没有公开数据说明有多少Cardano出块节点已完成修复,于是一边是安全通告,一边是零攻击记录,两者在现有证据下同时成立。这起事件厘清的是风险的形态:受影响的是奖励和在线率,而非资产托管,因为无论池服务器遭遇什么,委托人的币都躺在自己的钱包里。不久前刚在主网首次完成向国库归还115,172枚Cardano (ADA)的Intersect,如今面临的是另一种性质的协调考验。