Coinbase y Bitgo niegan impacto por vulnerabilidad de PHP; CZ alerta

«Llámame paranoico, pero ten mucho cuidado al visitar CUALQUIER sitio web en los próximos días, ya que algunos administradores web no siempre están al día con los parches de seguridad», advirtió el cofundador de Binance, Changpeng Zhao (CZ), añadiendo que los sitios web afectados podrían convertirse en «vectores para el robo de credenciales o la explotación de dispositivos». La propia Binance afirmó que «implementó medidas de protección proactivas antes del lanzamiento oficial del parche y completó las correcciones necesarias».

Actualiza o desconéctate

PHP es un lenguaje de programación utilizado por alrededor del 70 % de los sitios web cuyo lenguaje del lado del servidor se conoce, según W3Techs. El CERT-EU advirtió de que las vulnerabilidades podrían permitir a los atacantes ejecutar su propio código en un servidor sin necesidad de iniciar sesión. El equipo de PHP publicó las correcciones el 21 de octubre. Sin embargo, cada administrador de sitio web debe instalarlas, lo que deja a los sitios sin parchear potencialmente expuestos. «Si no es posible realizar una actualización inmediata, se recomienda que las organizaciones desconecten el sistema hasta que la vulnerabilidad pueda mitigarse por completo», advirtió la Agencia de Seguridad Nacional de EE. UU.

«Millones» de intentos de explotación

Hasta ahora, solo unos pocos actores importantes del sector de los criptoactivos han abordado públicamente el tema. Algunos, como Pancakeswap y Bitget Wallet, afirmaron que no utilizan PHP, mientras que Kaia Chain señaló que PHP no forma parte de su pila de tecnología principal. Coinbase y Bitgo indicaron que no habían detectado ninguna exposición a las vulnerabilidades.

«También estamos colaborando con nuestros proveedores externos para garantizar una mayor seguridad», declaró Jeff Lunglhofer, director de seguridad de Coinbase, en X. Hasta el momento no se ha informado de ningún ataque a empresas de criptomonedas ni de pérdidas de fondos de los usuarios, pero los atacantes se están volviendo cada vez más activos. ««En las 10 horas previas al anuncio público, en toda la red de @Cloudflare observamos miles de intentos de explotar esta vulnerabilidad. Esa cifra se disparó a decenas de miles en los 45 minutos posteriores al anuncio, a cientos de miles en dos horas y, en estos momentos, a millones», afirmó Matthew Prince, director ejecutivo de Cloudflare, un importante proveedor de servicios en la nube.

Intentos de ataque anteriores y problemas en pequeñas empresas

Aunque una empresa haya corregido la vulnerabilidad de PHP el 21 de octubre, eso no significa que los atacantes no la hubieran explotado antes. Por ejemplo, Amazon detectó un intento de explotación de PHP2Shell que se remonta al 17 de octubre.

«Pero los defensores no deben dar por sentado que la fecha de divulgación pública es la fecha más temprana de explotación», advirtió CJ Moses, director de seguridad de la información de Amazon Integrated Security. Los servicios de criptoactivos más pequeños, incluidos los comerciantes que aceptan bitcoin y otros criptoactivos, se enfrentan a un problema distinto: es posible que apliquen los parches tarde o que ni siquiera lo hagan. Mientras que las grandes empresas cuentan con equipos de seguridad especializados, una pequeña tienda que acepte bitcoins (BTC) a través de un complemento de WordPress puede verse obligada a recurrir a sus propios recursos o a su proveedor de alojamiento web para aplicar los parches de PHP. El popular procesador de pagos de bitcoins de código abierto BTCPay Server no se ejecuta en PHP, pero sí lo hace su complemento de WooCommerce para tiendas de WordPress.

La Agencia de Ciberseguridad y Seguridad de las Infraestructuras de EE. UU. también ha aconsejado a las organizaciones que desconecten los sistemas basados en PHP hasta que puedan aplicarles los parches o actualizarlos.

Problemas con eMudhra y advertencia de Lightning Labs

Mientras tanto, el sector del bitcoin y las criptomonedas se enfrenta a otra vulnerabilidad relacionada con eMudhra, una autoridad de certificación digital india. Los investigadores descubrieron que las claves privadas de ocho de sus certificados intermedios eran extremadamente débiles. Cuando un usuario visita un sitio web a través de HTTPS, el software comprueba su certificado digital para confirmar la identidad del sitio. Con una de estas claves débiles, un atacante podría crear un certificado falso para el sitio web de una plataforma de intercambio. Los navegadores han comenzado a bloquear estos certificados. Sin embargo, es posible que otros programas, como los bots de trading o las aplicaciones con sus propias listas de certificados, no lo hagan. Los usuarios deben actualizar su software para asegurarse de que rechace los certificados afectados.

Olaoluwa Osuntokun, director tecnológico de Lightning Labs, instó a los usuarios de su software de Bitcoin y Lightning Network a actualizarlo inmediatamente tras el descubrimiento de la vulnerabilidad de eMudhra.

Manténganse alerta

Aunque los usuarios no pueden aplicar parches a los servidores de los sitios web que visitan, sí pueden tomar precauciones. Deben utilizar sitios web oficiales guardados en sus marcadores e ignorar los mensajes de «actualización urgente». Como siempre, es especialmente importante comprobar dos veces a dónde se envían sus bitcoins u otros activos criptográficos. Una cartera de hardware muestra la dirección a la que se envían los fondos, pero no puede determinar si un sitio web pirateado mostraba una dirección errónea. Los usuarios deben confirmar las direcciones de destino a través de una segunda fuente, como la aplicación de la plataforma de intercambio o una dirección guardada.

«Voy a pasar del desarrollo a la carpintería. Es más seguro. Llámame de nuevo cuando hayan arreglado todo», bromeó Nicolas Dorier, fundador de BTCPay Server.