कोइनबेस-बिटगो: PHP खामी से अप्रभावित; बाइनेंस CZ ने सतर्क रहने को कहा

"मुझे सनकी कहिए, लेकिन अगले कुछ दिनों में किसी भी वेबसाइट पर जाने में अतिरिक्त सावधानी बरतें, क्योंकि कुछ वेब एडमिन हमेशा सुरक्षा पैच के साथ अप-टू-डेट नहीं होते हैं," बाइनेंस के सह-संस्थापक चांगपेंग झाओ (CZ) ने चेतावनी दी, और कहा कि प्रभावित वेबसाइटें "प्रमाण-पत्र चोरी या डिवाइस एक्सप्लॉइट के लिए माध्यम" बन सकती हैं। बिनेंस ने खुद कहा कि उसने "आधिकारिक पैच जारी होने से पहले सक्रिय सुरक्षा उपाय लागू किए और आवश्यक सुधार कार्य पूरा कर लिया।"

अपडेट करें या ऑफ़लाइन जाएँ

W3Techs के अनुसार, PHP एक प्रोग्रामिंग भाषा है जिसका उपयोग लगभग 70% वेबसाइटों द्वारा किया जाता है जिनकी सर्वर-साइड भाषा ज्ञात है। CERT-EU ने चेतावनी दी कि ये कमजोरियां हमलावरों को बिना लॉग इन किए सर्वर पर अपना खुद का कोड निष्पादित करने की अनुमति दे सकती हैं। PHP टीम ने 21 अक्टूबर को फिक्स जारी किए। हालांकि, प्रत्येक वेबसाइट प्रशासक को उन्हें इंस्टॉल करना होगा, जिससे बिना पैच वाली साइटें संभावित रूप से असुरक्षित रह जाएंगी।

"यदि तत्काल अपडेट संभव नहीं है, तो यह अनुशंसा की जाती है कि संगठन सिस्टम को तब तक ऑफ़लाइन कर दें जब तक कि इसे पूरी तरह से कम नहीं किया जा सकता," अमेरिकी राष्ट्रीय सुरक्षा एजेंसी ने चेतावनी दी।

'लाखों' शोषण प्रयास

अब तक, केवल कुछ प्रमुख क्रिप्टो एसेट खिलाड़ियों ने ही सार्वजनिक रूप से इस मुद्दे को संबोधित किया है। कुछ, जिनमें पैनकेकस्वैप और बिटगेट वॉलेट शामिल हैं, ने कहा कि वे PHP का उपयोग नहीं करते हैं, जबकि काया चेन ने कहा कि PHP इसके कोर स्टैक का हिस्सा नहीं है। कॉइनबेस और बिटगो ने कहा कि उन्हें इन कमजोरियों से कोई जोखिम नहीं मिला है।

"हम अतिरिक्त आश्वासन के लिए अपने तीसरे पक्ष के आपूर्तिकर्ताओं के साथ भी काम कर रहे हैं," कॉइनबेस के मुख्य सुरक्षा अधिकारी जेफ लंग्लहोफर ने एक्स पर कहा।

अब तक किसी भी क्रिप्टो फर्म के शोषण या उपयोगकर्ता के धन के नुकसान की कोई सूचना नहीं मिली है, लेकिन हमलावर तेजी से सक्रिय हो रहे हैं।

"सार्वजनिक रूप से घोषणा किए जाने से 10 घंटे पहले, @Cloudflare नेटवर्क पर हमने इसका फायदा उठाने के हजारों प्रयास देखे। घोषणा के 45 मिनट बाद यह संख्या दसियों हज़ार, 2 घंटों के भीतर लाखों, और अब करोड़ों तक पहुंच गई," प्रमुख क्लाउड सेवा प्रदाता, क्लाउडफ्लेयर के सीईओ मैथ्यू प्रिंस ने कहा।

पहले के हमले के प्रयास और छोटी दुकानों की समस्याएँ

भले ही किसी कंपनी ने 21 अक्टूबर को PHP भेद्यता को ठीक कर दिया हो, इसका मतलब यह नहीं है कि हमलावरों ने पहले इसका फायदा नहीं उठाया था। उदाहरण के लिए, अमेज़ॅन को 17 अक्टूबर की एक PHP2Shell शोषण का प्रयास मिला।

"लेकिन रक्षकों को यह मान लेना चाहिए कि सार्वजनिक प्रकटीकरण की तारीख शोषण की सबसे शुरुआती तारीख नहीं है," अमेज़ॅन इंटीग्रेटेड सिक्योरिटी के मुख्य सूचना सुरक्षा अधिकारी सीजे मोसेस ने चेतावनी दी।

छोटी क्रिप्टो एसेट सेवाओं, जिसमें बिटकॉइन और अन्य क्रिप्टो एसेट्स स्वीकार करने वाले व्यापारी भी शामिल हैं, को एक अलग समस्या का सामना करना पड़ता है: वे पैच देर से लगा सकते हैं या बिल्कुल भी नहीं लगा सकते। जबकि बड़ी फर्मों के पास समर्पित सुरक्षा टीमें होती हैं, एक छोटी दुकान जिसे वर्डप्रेस प्लगइन के माध्यम से बिटकॉइन (BTC) स्वीकार करने के लिए PHP की आवश्यकता होती है, उसे PHP को पैच करने के लिए अपने स्वयं के संसाधनों या अपने वेब होस्ट पर निर्भर रहना पड़ सकता है। लोकप्रिय ओपन-सोर्स बिटकॉइन भुगतान प्रोसेसर BTCPay Server स्वयं PHP पर नहीं चलता है, लेकिन वर्डप्रेस दुकानों के लिए इसका Woocommerce प्लगइन चलता है।

अमेरिकी साइबर सुरक्षा और अवसंरचना सुरक्षा एजेंसी ने संगठनों को यह भी सलाह दी है कि वे PHP-आधारित सिस्टम को तब तक ऑफ़लाइन कर दें जब तक कि वे उन्हें पैच या अपडेट नहीं कर सकते।

ईमुद्रा की समस्याएं और लाइटनिंग लैब्स की चेतावनी

इस बीच, बिटकॉइन और क्रिप्टो उद्योग एक भारतीय डिजिटल प्रमाणपत्र प्राधिकरण, ईमुद्रा से जुड़ी एक और भेद्यता से निपट रहा है। शोधकर्ताओं ने पाया कि इसके आठ मध्यवर्ती प्रमाणपत्रों की निजी कुंजियाँ बेहद कमजोर थीं।

जब कोई उपयोगकर्ता HTTPS पर किसी वेबसाइट पर जाता है, तो सॉफ्टवेयर साइट की पहचान की पुष्टि करने के लिए उसके डिजिटल प्रमाणपत्र की जाँच करता है। इन कमजोर कुंजियों में से एक का उपयोग करके, एक हमलावर किसी एक्सचेंज की वेबसाइट के लिए एक नकली प्रमाणपत्र बना सकता है।

ब्राउज़रों ने इन प्रमाणपत्रों को ब्लॉक करना शुरू कर दिया है। हालांकि, ट्रेडिंग बॉट्स या अपनी खुद की प्रमाणपत्र सूचियों वाली ऐप्स जैसे अन्य सॉफ्टवेयर ऐसा नहीं कर सकते हैं। उपयोगकर्ताओं को यह सुनिश्चित करने के लिए अपने सॉफ्टवेयर को अपडेट करना चाहिए कि यह प्रभावित प्रमाणपत्रों को अस्वीकार करे।

लाइटनिंग लैब्स के मुख्य प्रौद्योगिकी अधिकारी ओलाओलुवा ओसुंटोकुन ने eMudhra की कमजोरी का पता चलने के बाद अपने बिटकॉइन और लाइटनिंग नेटवर्क सॉफ्टवेयर के उपयोगकर्ताओं से तुरंत अपडेट करने का आग्रह किया।

सतर्क रहें

हालांकि उपयोगकर्ता जिन वेबसाइटों पर जाते हैं, उनके सर्वर को पैच नहीं कर सकते, वे सावधानियां बरत सकते हैं। उन्हें बुकमार्क की गई आधिकारिक वेबसाइटों का उपयोग करना चाहिए और "तत्काल अपडेट" संदेशों को अनदेखा करना चाहिए। हमेशा की तरह, यह विशेष रूप से महत्वपूर्ण है कि यह दोबारा जांच लें कि उनका बिटकॉइन या अन्य क्रिप्टो संपत्ति कहाँ भेजी जा रही है। एक हार्डवेयर वॉलेट उस पते को प्रदर्शित करता है जहाँ फंड भेजे जा रहे हैं, लेकिन यह नहीं बता सकता कि क्या हैक की गई वेबसाइट ने गलत पता दिखाया है। उपयोगकर्ताओं को दूसरे स्रोत, जैसे कि एक्सचेंज का ऐप या एक सहेजा हुआ पता, के माध्यम से प्राप्त करने वाले पते की पुष्टि करनी चाहिए।

BTCPay Server के संस्थापक, निकोलस डोरीयर ने मज़ाक में कहा, "मैं डेवलपिंग से लकड़ी के काम पर जा रहा हूँ। यह ज़्यादा सुरक्षित है। जब लोग सब कुछ ठीक कर लें तो मुझे फिर से बुलाना।"