Coinbase en Bitgo: niet getroffen door PHP-kwetsbaarheid; CZ waarschuwt

"Noem me paranoïde, maar wees de komende dagen extra voorzichtig bij het bezoeken van ELKE website, aangezien sommige webbeheerders niet altijd up-to-date zijn met beveiligingspatches", waarschuwde Binance-medeoprichter Changpeng Zhao (CZ), eraan toevoegend dat getroffen websites "vectoren voor diefstal van inloggegevens of misbruik van apparaten" zouden kunnen worden. Binance zelf verklaarde dat het „proactieve beveiligingsmaatregelen heeft geïmplementeerd nog voordat de officiële patch werd uitgebracht en de nodige herstelmaatregelen heeft voltooid“.

Update of ga offline

PHP is een programmeertaal die volgens W3Techs door ongeveer 70% van de websites wordt gebruikt waarvan de servertaal bekend is. CERT-EU waarschuwde dat de kwetsbaarheden aanvallers in staat zouden kunnen stellen hun eigen code op een server uit te voeren zonder in te loggen. Het PHP-team heeft op 21 oktober oplossingen uitgebracht. Elke websitebeheerder moet deze echter zelf installeren, waardoor niet-gepatchte sites mogelijk kwetsbaar blijven.

"Als een onmiddellijke update niet haalbaar is, wordt aanbevolen dat organisaties het systeem offline halen totdat het probleem volledig is verholpen", waarschuwde de Amerikaanse National Security Agency.

'Miljoenen' pogingen tot misbruik

Tot nu toe hebben slechts enkele grote spelers op het gebied van crypto-activa het probleem publiekelijk aan de orde gesteld. Sommigen, waaronder Pancakeswap en Bitget Wallet, verklaarden dat ze geen gebruik maken van PHP, terwijl Kaia Chain aangaf dat PHP geen deel uitmaakt van hun kernstack. Coinbase en Bitgo verklaarden dat ze geen blootstelling aan de kwetsbaarheden hadden vastgesteld.

"We werken ook samen met onze externe leveranciers voor extra zekerheid", zei Jeff Lunglhofer, Chief Security Officer bij Coinbase, op X.

Er zijn tot nu toe geen meldingen van misbruik van cryptobedrijven of verlies van gebruikersgeld, maar aanvallers worden steeds actiever.

"In de 10 uur voordat het openbaar werd gemaakt, zagen we in het hele @Cloudflare-netwerk duizenden pogingen om hier misbruik van te maken. Dat aantal steeg tot tienduizenden in de 45 minuten na de aankondiging, honderdduizenden binnen 2 uur, en nu miljoenen,” aldus Matthew Prince, CEO van Cloudflare, een grote aanbieder van clouddiensten.

Eerdere aanvalspogingen en problemen bij kleine bedrijven

Zelfs als een bedrijf de PHP-kwetsbaarheid op 21 oktober heeft gepatcht, betekent dat nog niet dat aanvallers er niet al eerder misbruik van hadden gemaakt. Amazon ontdekte bijvoorbeeld een poging tot misbruik van PHP2Shell die dateerde van 17 oktober.

"Maar beveiligingsmedewerkers moeten er niet vanuit gaan dat de datum van openbaarmaking de vroegste datum van misbruik is", waarschuwde CJ Moses, Chief Information Security Officer bij Amazon Integrated Security.

Kleinere crypto-dienstverleners, waaronder handelaren die bitcoin en andere crypto-activa accepteren, kampen met een apart probleem: zij passen patches mogelijk te laat of helemaal niet toe. Terwijl grote bedrijven over gespecialiseerde beveiligingsteams beschikken, moet een kleine webwinkel die bitcoin (BTC) via een WordPress-plug-in accepteert, wellicht vertrouwen op eigen middelen of op zijn webhost om PHP te patchen. De populaire open-source bitcoin-betalingsverwerker BTCPay Server draait zelf niet op PHP, maar de WooCommerce-plug-in voor WordPress-webwinkels wel.

Het Amerikaanse Cybersecurity and Infrastructure Security Agency heeft organisaties ook geadviseerd om op PHP gebaseerde systemen offline te halen totdat ze deze kunnen patchen of updaten.

Problemen met eMudhra en waarschuwing van Lightning Labs

Ondertussen heeft de bitcoin- en crypto-industrie te maken met een andere kwetsbaarheid die verband houdt met eMudhra, een Indiase digitale certificeringsinstantie. Onderzoekers ontdekten dat de privésleutels voor acht van haar tussencertificaten uiterst zwak waren.

Wanneer een gebruiker een website via HTTPS bezoekt, controleert de software het digitale certificaat om de identiteit van de site te bevestigen. Met een van deze zwakke sleutels zou een aanvaller een vals certificaat voor de website van een beurs kunnen aanmaken.

Browsers zijn begonnen deze certificaten te blokkeren. Andere software, zoals handelsbots of apps met hun eigen certificaatlijsten, doet dit echter mogelijk niet. Gebruikers moeten hun software updaten om ervoor te zorgen dat deze de getroffen certificaten weigert.

Olaoluwa Osuntokun, Chief Technology Officer bij Lightning Labs, drong er bij gebruikers van de Bitcoin- en Lightning Network-software op aan om onmiddellijk een update uit te voeren nadat de eMudhra-kwetsbaarheid was ontdekt.

Blijf waakzaam

Hoewel gebruikers de servers van de websites die ze bezoeken niet kunnen patchen, kunnen ze wel voorzorgsmaatregelen nemen. Ze moeten officiële websites gebruiken die ze als bladwijzer hebben opgeslagen en berichten over „dringende updates“ negeren. Zoals altijd is het vooral belangrijk om goed te controleren waar hun bitcoin of andere crypto-activa naartoe worden gestuurd. Een hardware-wallet toont het adres waarnaar het geld wordt gestuurd, maar kan niet zien of een gehackte website het verkeerde adres heeft weergegeven. Gebruikers moeten ontvangstadressen controleren via een tweede bron, zoals de app van de beurs of een opgeslagen adres.

"Ik ga overstappen van ontwikkelen naar houtbewerking. Dat is veiliger. Bel me maar weer als ze alles hebben opgelost," grapte Nicolas Dorier, de oprichter van BTCPay Server.