Coinbase e Bitgo: non colpite da vulnerabilità PHP; CZ invita cautela

«Datemi pure del paranoico, ma prestate la massima attenzione quando visitate QUALSIASI sito web nei prossimi giorni, poiché alcuni amministratori web non sono sempre aggiornati con le patch di sicurezza», ha avvertito il cofondatore di Binance Changpeng Zhao (CZ), aggiungendo che i siti web interessati potrebbero diventare «vettori per il furto di credenziali o per attacchi ai dispositivi». La stessa Binance ha dichiarato di aver «implementato misure di protezione proattive prima del rilascio ufficiale della patch e completato le correzioni necessarie».

Aggiornate o disconnettetevi

PHP è un linguaggio di programmazione utilizzato da circa il 70% dei siti web il cui linguaggio lato server è noto, secondo W3Techs. Il CERT-EU ha avvertito che le vulnerabilità potrebbero consentire agli aggressori di eseguire il proprio codice su un server senza effettuare l’accesso. Il team di PHP ha rilasciato le correzioni il 21 ottobre. Tuttavia, spetta a ciascun amministratore del sito web installarle, lasciando potenzialmente esposti i siti non aggiornati. «Se un aggiornamento immediato non è fattibile, si raccomanda alle organizzazioni di mettere il sistema offline fino a quando la vulnerabilità non sarà completamente mitigata», ha avvertito l’Agenzia per la Sicurezza Nazionale degli Stati Uniti (NSA).

"Milioni" di tentativi di sfruttamento

Finora, solo alcuni dei principali operatori del settore delle criptovalute hanno affrontato pubblicamente la questione. Alcuni, tra cui Pancakeswap e Bitget Wallet, hanno dichiarato di non utilizzare PHP, mentre Kaia Chain ha affermato che PHP non fa parte del proprio stack di base. Coinbase e Bitgo hanno dichiarato di non aver riscontrato alcuna esposizione alle vulnerabilità.

"Stiamo inoltre collaborando con i nostri fornitori terzi per garantire una maggiore sicurezza", ha dichiarato su X Jeff Lunglhofer, responsabile della sicurezza di Coinbase. Finora non sono stati segnalati casi di sfruttamento delle aziende del settore delle criptovalute né perdite di fondi degli utenti, ma gli aggressori stanno diventando sempre più attivi. "Nelle 10 ore precedenti l’annuncio pubblico, sulla rete @Cloudflare abbiamo rilevato migliaia di tentativi di sfruttamento della vulnerabilità. Il numero è balzato a decine di migliaia nei 45 minuti successivi all’annuncio, a centinaia di migliaia entro 2 ore e ora a milioni”, ha dichiarato Matthew Prince, CEO di Cloudflare, uno dei principali fornitori di servizi cloud.

Precedenti tentativi di attacco e problemi nelle piccole aziende

Anche se un’azienda ha applicato la patch alla vulnerabilità PHP il 21 ottobre, ciò non significa che gli aggressori non l’avessero già sfruttata in precedenza. Ad esempio, Amazon ha individuato un tentativo di sfruttamento di PHP2Shell risalente al 17 ottobre.

"Ma chi si occupa della sicurezza non dovrebbe dare per scontato che la data di divulgazione pubblica sia la prima data di sfruttamento", ha avvertito CJ Moses, responsabile della sicurezza informatica di Amazon Integrated Security. I servizi di criptovalute più piccoli, compresi i commercianti che accettano bitcoin e altre criptovalute, devono affrontare un problema a sé stante: potrebbero applicare le patch in ritardo o non applicarle affatto. Mentre le grandi aziende dispongono di team di sicurezza dedicati, un piccolo negozio che accetta bitcoin (BTC) tramite un plugin di WordPress potrebbe dover fare affidamento sulle proprie risorse o sul proprio host web per applicare le patch a PHP. Il popolare processore di pagamenti in bitcoin open source BTCPay Server non funziona su PHP, ma il suo plugin WooCommerce per i negozi WordPress sì.

Anche l’Agenzia statunitense per la sicurezza informatica e delle infrastrutture (CISA) ha consigliato alle organizzazioni di mettere offline i sistemi basati su PHP fino a quando non sarà possibile applicare le patch o aggiornarli.

Problemi di eMudhra e avviso di Lightning Labs

Nel frattempo, il settore dei bitcoin e delle criptovalute sta affrontando un’altra vulnerabilità legata a eMudhra, un’autorità di certificazione digitale indiana. I ricercatori hanno scoperto che le chiavi private di otto dei suoi certificati intermedi erano estremamente deboli. Quando un utente visita un sito web tramite HTTPS, il software ne verifica il certificato digitale per confermare l’identità del sito. Con una di queste chiavi deboli, un malintenzionato potrebbe creare un certificato falso per il sito web di un exchange. I browser hanno iniziato a bloccare questi certificati. Tuttavia, altri software, come i bot di trading o le app con i propri elenchi di certificati, potrebbero non farlo. Gli utenti dovrebbero aggiornare il proprio software per assicurarsi che rifiuti i certificati interessati.

Olaoluwa Osuntokun, direttore tecnico di Lightning Labs, ha esortato gli utenti del proprio software per Bitcoin e Lightning Network ad aggiornarlo immediatamente dopo la scoperta della vulnerabilità di eMudhra.

Rimanete vigili

Sebbene gli utenti non possano applicare patch ai server dei siti web che visitano, possono adottare alcune precauzioni. Dovrebbero utilizzare i siti web ufficiali aggiunti ai segnalibri e ignorare i messaggi di “aggiornamento urgente”. Come sempre, è particolarmente importante ricontrollare dove vengono inviati i propri bitcoin o altre criptovalute. Un portafoglio hardware mostra l’indirizzo a cui vengono inviati i fondi, ma non può stabilire se un sito web compromesso ne abbia visualizzato uno errato. Gli utenti dovrebbero confermare gli indirizzi di destinazione tramite una seconda fonte, come l’app dell’exchange o un indirizzo salvato.

«Passerò dallo sviluppo alla falegnameria. È più sicuro. Richiamatemi quando avranno sistemato tutto», ha scherzato Nicolas Dorier, fondatore di BTCPay Server.