Coinbase i Bitgo: luka w PHP bez wpływu; CZ z Binance ostrzega

„Możecie nazwać mnie paranoikiem, ale zachowajcie szczególną ostrożność podczas odwiedzania KAŻDEJ strony internetowej w ciągu najbliższych kilku dni, ponieważ niektórzy administratorzy stron nie zawsze na bieżąco instalują poprawki bezpieczeństwa” – ostrzegł współzałożyciel Binance, Changpeng Zhao (CZ), dodając, że podatne na ataki strony internetowe mogą stać się „nośnikami kradzieży danych uwierzytelniających lub exploitów na urządzeniach”. Sama firma Binance poinformowała, że „wdrożyła proaktywne środki zabezpieczające przed oficjalnym wydaniem poprawki i zakończyła niezbędne działania naprawcze”.

Zaktualizuj oprogramowanie lub przejdź w tryb offline

PHP to język programowania używany przez około 70% stron internetowych, których język po stronie serwera jest znany, według danych W3Techs. CERT-EU ostrzegło, że luki te mogą umożliwić atakującym wykonanie własnego kodu na serwerze bez konieczności logowania się. Zespół PHP opublikował poprawki 21 października. Jednak każdy administrator strony internetowej musi je zainstalować, co oznacza, że strony bez poprawek mogą być narażone na ataki.

„Jeśli natychmiastowa aktualizacja nie jest możliwa, zaleca się, aby organizacje wyłączyły system z sieci do czasu pełnego usunięcia zagrożenia” – ostrzegła amerykańska Agencja Bezpieczeństwa Narodowego (NSA).

„Miliony” prób wykorzystania luk

Jak dotąd tylko kilku głównych graczy z branży kryptowalut publicznie odniosło się do tej kwestii. Niektórzy, w tym Pancakeswap i Bitget Wallet, oświadczyli, że nie korzystają z PHP, natomiast Kaia Chain stwierdziła, że PHP nie wchodzi w skład jej podstawowego stosu technologicznego. Coinbase i Bitgo poinformowały, że nie stwierdziły narażenia na te luki.

„Współpracujemy również z naszymi zewnętrznymi dostawcami, aby zapewnić dodatkowe zabezpieczenia” – powiedział Jeff Lunglhofer, dyrektor ds. bezpieczeństwa w Coinbase, na platformie X.

Jak dotąd nie zgłoszono żadnych przypadków wykorzystania luk w zabezpieczeniach firm kryptowalutowych ani utraty środków użytkowników, jednak atakujący stają się coraz bardziej aktywni.

„W ciągu 10 godzin przed publicznym ogłoszeniem w całej sieci @Cloudflare odnotowaliśmy tysiące prób wykorzystania tej luki. Liczba ta wzrosła do dziesiątek tysięcy w ciągu 45 minut po ogłoszeniu, setek tysięcy w ciągu 2 godzin, a obecnie sięga milionów” – powiedział Matthew Prince, dyrektor generalny Cloudflare, dużego dostawcy usług w chmurze.

Wcześniejsze próby ataków i problemy małych firm

Nawet jeśli firma załatała lukę w PHP 21 października, nie oznacza to, że atakujący nie wykorzystali jej wcześniej. Na przykład firma Amazon wykryła próbę wykorzystania luki PHP2Shell sięgającą 17 października.

„Jednak osoby odpowiedzialne za ochronę nie powinny zakładać, że data publicznego ujawnienia luki jest najwcześniejszą datą jej wykorzystania” – ostrzegł CJ Moses, dyrektor ds. bezpieczeństwa informacji w Amazon Integrated Security.

Mniejsze serwisy obsługujące aktywa kryptograficzne, w tym sprzedawcy akceptujący bitcoiny i inne aktywa kryptograficzne, borykają się z odrębnym problemem: mogą zastosować poprawki z opóźnieniem lub w ogóle tego nie zrobić. Podczas gdy duże firmy dysponują wyspecjalizowanymi zespołami ds. bezpieczeństwa, mały sklep akceptujący bitcoiny (BTC) za pośrednictwem wtyczki WordPress może być zmuszony do polegania na własnych zasobach lub dostawcy usług hostingowych w celu zainstalowania poprawek do PHP. Popularny procesor płatności bitcoinowych typu open source, BTCPay Server, nie działa na samym PHP, ale jego wtyczka WooCommerce dla sklepów opartych na WordPressie już tak.

Amerykańska Agencja ds. Cyberbezpieczeństwa i Bezpieczeństwa Infrastruktury (CISA) również zaleciła organizacjom wyłączenie systemów opartych na PHP do czasu zainstalowania poprawek lub aktualizacji.

Problemy z eMudhra i ostrzeżenie Lightning Labs

Tymczasem branża bitcoinowa i kryptowalutowa boryka się z kolejną luką związaną z eMudhra, indyjskim urzędem certyfikacji cyfrowej. Badacze odkryli, że klucze prywatne ośmiu certyfikatów pośrednich tej instytucji były wyjątkowo słabe.

Kiedy użytkownik odwiedza stronę internetową za pośrednictwem protokołu HTTPS, oprogramowanie sprawdza jej certyfikat cyfrowy w celu potwierdzenia tożsamości witryny. Korzystając z jednego z tych słabych kluczy, osoba atakująca mogłaby stworzyć fałszywy certyfikat dla strony internetowej giełdy.

Przeglądarki zaczęły blokować te certyfikaty. Jednak inne oprogramowanie, takie jak boty handlowe lub aplikacje posiadające własne listy certyfikatów, może tego nie robić. Użytkownicy powinni zaktualizować swoje oprogramowanie, aby zapewnić odrzucanie certyfikatów, których dotyczy ta luka.

Olaoluwa Osuntokun, dyrektor ds. technologii w Lightning Labs, wezwał użytkowników oprogramowania Bitcoin i Lightning Network do natychmiastowej aktualizacji po wykryciu luki w zabezpieczeniach eMudhra.

Zachowaj czujność

Chociaż użytkownicy nie mogą załatać serwerów odwiedzanych stron internetowych, mogą podjąć środki ostrożności. Powinni korzystać z oficjalnych stron internetowych zapisanych w zakładkach i ignorować komunikaty o „pilnej aktualizacji”. Jak zawsze, szczególnie ważne jest dokładne sprawdzenie, dokąd wysyłane są ich bitcoiny lub inne aktywa kryptograficzne. Portfel sprzętowy wyświetla adres, na który wysyłane są środki, ale nie jest w stanie stwierdzić, czy zhakowana strona internetowa nie wyświetlała błędnego adresu. Użytkownicy powinni potwierdzić adresy odbiorcze za pomocą drugiego źródła, takiego jak aplikacja giełdy lub zapisany adres.

„Przejdę z programowania do stolarstwa. To bezpieczniejsze. Zadzwońcie do mnie ponownie, kiedy wszystko zostanie naprawione” – zażartował Nicolas Dorier, założyciel BTCPay Server.