Coinbase ও Bitgo: PHP ত্রুটিতে প্রভাবিত নয়; Binance-এর CZ সতর্ক থাকার আহ্বান

"আমাকে সন্দেহপ্রবণ ভাবুন, কিন্তু আগামী কয়েকদিনে যেকোনো ওয়েবসাইট পরিদর্শন করার সময় অতিরিক্ত সতর্ক থাকুন, কারণ কিছু ওয়েব অ্যাডমিন সবসময় নিরাপত্তা প্যাচগুলো আপডেট রাখেন না," বাইন্যান্সের সহ-প্রতিষ্ঠাতা চাংপেন ঝাও (CZ) সতর্ক করেছেন, যোগ করে বলেছেন যে প্রভাবিত ওয়েবসাইটগুলো "প্রমাণপত্র চুরি বা ডিভাইস এক্সপ্লয়েটের মাধ্যম" হয়ে উঠতে পারে। বিনান্স নিজেই বলেছে যে তারা "সরকারি প্যাচ প্রকাশের আগেই সক্রিয় সুরক্ষা ব্যবস্থা বাস্তবায়ন করেছে এবং প্রয়োজনীয় সংশোধন সম্পন্ন করেছে।"

আপডেট করুন অথবা অফলাইনে যান

W3Techs অনুসারে, সার্ভার-সাইড ভাষা জানা প্রায় ৭০% ওয়েবসাইটে PHP প্রোগ্রামিং ভাষা ব্যবহার করা হয়। CERT-EU সতর্ক করেছে যে এই দুর্বলতাগুলো আক্রমণকারীদের লগইন ছাড়াই সার্ভারে তাদের নিজস্ব কোড চালানোর সুযোগ দিতে পারে। PHP দল ২১ অক্টোবর ফিক্স প্রকাশ করেছে। তবে, প্রতিটি ওয়েবসাইট প্রশাসককে সেগুলো ইনস্টল করতে হবে, ফলে প্যাচ না করা সাইটগুলো সম্ভাব্যভাবে উন্মুক্ত থেকে যেতে পারে।

"যদি অবিলম্বে আপডেট করা সম্ভব না হয়, তাহলে সংস্থাগুলোকে সিস্টেমটি সম্পূর্ণরূপে নিরসন না হওয়া পর্যন্ত অফলাইনে রাখার পরামর্শ দেওয়া হচ্ছে," মার্কিন জাতীয় নিরাপত্তা সংস্থা সতর্ক করেছে।

'লক্ষ লক্ষ' শোষণ প্রচেষ্টা

এখন পর্যন্ত শুধুমাত্র কয়েকটি প্রধান ক্রিপ্টো অ্যাসেট প্রতিষ্ঠানই প্রকাশ্যে বিষয়টি নিয়ে কথা বলেছে। প্যানকেকসওয়্যাপ এবং বিটগেট ওয়ালেটসহ কিছু প্রতিষ্ঠান বলেছে যে তারা PHP ব্যবহার করে না, আর কাইয়া চেইন বলেছে যে PHP তাদের কোর স্ট্যাকের অংশ নয়। কয়েনবেস এবং বিটগো বলেছে যে তারা এই দুর্বলতাগুলোর কোনো প্রভাব খুঁজে পায়নি।

"আমরা অতিরিক্ত নিশ্চয়তার জন্য আমাদের তৃতীয় পক্ষের সরবরাহকারীদের সাথেও কাজ করছি," কোইনবেসের প্রধান নিরাপত্তা কর্মকর্তা জেফ লুংলহোফার এক্স-এ বলেছেন।

এখন পর্যন্ত কোনো ক্রিপ্টো প্রতিষ্ঠানের শোষণ বা ব্যবহারকারীর তহবিলের ক্ষতি হওয়ার কোনো খবর পাওয়া যায়নি, তবে হামলাকারীরা ক্রমেই আরও সক্রিয় হয়ে উঠছে।জনসমক্ষে ঘোষণা করার ১০ ঘণ্টার আগে, @Cloudflare নেটওয়ার্ক জুড়ে আমরা এটিকে কাজে লাগানোর হাজার হাজার চেষ্টা দেখেছি। ঘোষণা করার পর ৪৫ মিনিটের মধ্যে তা কয়েক হাজারে, দুই ঘণ্টার মধ্যে কয়েক লাখে, এবং এখন মিলিয়নে পৌঁছেছে," বলেছেন মেথিউ প্রিন্স, প্রধান ক্লাউড সার্ভিস প্রদানকারী Cloudflare-এর সিইও।

আগের আক্রমণ প্রচেষ্টা এবং ছোট প্রতিষ্ঠানের সমস্যা

যদি কোনো কোম্পানি ২১ অক্টোবর PHP দুর্বলতা প্যাচ করেও থাকে, তার মানে এই নয় যে আক্রমণকারীরা আগে এটি ব্যবহার করেনি। উদাহরণস্বরূপ, অ্যামাজন ১৭ অক্টোবর থেকে একটি PHP2Shell শোষণ প্রচেষ্টা খুঁজে পেয়েছে।

"কিন্তু প্রতিরক্ষাকারীরা ধরে নেবেন না যে জনসাধারণের কাছে প্রকাশের তারিখই শোষণের প্রথম তারিখ," অ্যামাজন ইন্টিগ্রেটেড সিকিউরিটি প্রধান তথ্য নিরাপত্তা কর্মকর্তা সিজে মোসেস সতর্ক করেছেন।

ছোট ক্রিপ্টো অ্যাসেট সেবা প্রদানকারীরা, যার মধ্যে বিটকয়েন ও অন্যান্য ক্রিপ্টো অ্যাসেট গ্রহণকারী ব্যবসায়ীরাও রয়েছে, একটি ভিন্ন সমস্যার সম্মুখীন: তারা প্যাচগুলো দেরিতে প্রয়োগ করতে পারে বা একেবারেই নাও করতে পারে। যদিও বড় প্রতিষ্ঠানগুলোর নিবেদিত নিরাপত্তা দল থাকে, একটি ছোট প্রতিষ্ঠান যা একটি ওয়ার্ডপ্রেস প্লাগইন ব্যবহার করে বিটকয়েন (BTC) গ্রহণ করে, তাদের PHP প্যাচ করার জন্য নিজেদের সম্পদ বা তাদের ওয়েব হোস্টের ওপর নির্ভর করতে হতে পারে। জনপ্রিয় ওপেন-সোর্স বিটকয়েন পেমেন্ট প্রসেসর BTCPay Server নিজে PHP-এ চলে না, তবে এর ওয়ার্ডপ্রেস শপের জন্য Woocommerce প্লাগইনটি চলে।

যুক্তরাষ্ট্রের সাইবারসিকিউরিটি অ্যান্ড ইনফ্রাস্ট্রাকচার সিকিউরিটি এজেন্সি (CISA) প্রতিষ্ঠানগুলোকে পরামর্শ দিয়েছে যে, তারা PHP-ভিত্তিক সিস্টেমগুলো প্যাচ বা আপডেট না করা পর্যন্ত অফলাইনে রাখুক।

ইমুদ্রা সমস্যা এবং লাইটনিং ল্যাবস সতর্কতা

এদিকে, বিটকয়েন ও ক্রিপ্টো শিল্প ইমুদ্রা (eMudhra), একটি ভারতীয় ডিজিটাল সার্টিফিকেট কর্তৃপক্ষের সাথে যুক্ত আরেকটি দুর্বলতার মোকাবিলা করছে। গবেষকরা দেখেছেন যে এর আটটি মধ্যবর্তী সার্টিফিকেট-এর প্রাইভেট কী অত্যন্ত দুর্বল ছিল।

যখন একজন ব্যবহারকারী HTTPS-এর মাধ্যমে কোনো ওয়েবসাইট পরিদর্শন করেন, সফটওয়্যার সাইটটির পরিচয় নিশ্চিত করতে তার ডিজিটাল সার্টিফিকেট যাচাই করে। এই দুর্বল কীগুলির একটি ব্যবহার করে একজন আক্রমণকারী এক্সচেঞ্জের ওয়েবসাইটের জন্য একটি ভুয়া সার্টিফিকেট তৈরি করতে পারে।

ব্রাউজারগুলো এই সার্টিফিকেটগুলো ব্লক করতে শুরু করেছে। তবে ট্রেডিং বট বা নিজস্ব সার্টিফিকেট তালিকা সহ অ্যাপের মতো অন্যান্য সফটওয়্যারগুলো হয়তো তা করবে না। ব্যবহারকারীদের তাদের সফটওয়্যার আপডেট করে নিশ্চিত করতে হবে যে এটি প্রভাবিত সার্টিফিকেটগুলো প্রত্যাখ্যান করছে।

লাইটনিং ল্যাবস-এর প্রধান প্রযুক্তি কর্মকর্তা ওলাওলুওয়া ওসুন্টোকুন eMudhra-র দুর্বলতা আবিষ্কৃত হওয়ার পর তার বিটকয়েন ও লাইটনিং নেটওয়ার্ক সফটওয়্যারের ব্যবহারকারীদের অবিলম্বে আপডেট করতে অনুরোধ করেছিলেন।

সতর্ক থাকুন

যদিও ব্যবহারকারীরা তারা যে ওয়েবসাইটগুলো পরিদর্শন করেন সেগুলোর সার্ভার প্যাচ করতে পারবেন না, তারা সতর্কতা অবলম্বন করতে পারেন। তাদের উচিত বুকমার্ককৃত অফিসিয়াল ওয়েবসাইটগুলো ব্যবহার করা এবং "জরুরি আপডেট" বার্তাগুলো উপেক্ষা করা। সবসময়ের মতো, বিশেষ করে দ্বিগুণ যাচাই করা গুরুত্বপূর্ণ যে তাদের বিটকয়েন বা অন্যান্য ক্রিপ্টো সম্পদ কোথায় পাঠানো হচ্ছে। একটি হার্ডওয়্যার ওয়ালেট সেই ঠিকানা প্রদর্শন করে যেখানে তহবিল পাঠানো হচ্ছে, তবে এটি বলতে পারে না যে হ্যাক করা কোনো ওয়েবসাইট ভুল ঠিকানা দেখিয়েছে কিনা। ব্যবহারকারীদের দ্বিতীয় কোনো উৎস, যেমন এক্সচেঞ্জের অ্যাপ বা সংরক্ষিত ঠিকানা, ব্যবহার করে প্রাপ্ত ঠিকানা নিশ্চিত করা উচিত।

"আমি ডেভ থেকে কাঠের কাজে চলে যাব। এটা নিরাপদ। যখন মানুষ সবকিছু ঠিকঠাক করে দেবে, তখন আমাকে আবার কল করো," বিটিসিপে সার্ভারের প্রতিষ্ঠাতা নিকোলাস ডোরিয়ে রসিকতা করে বললেন।