Coinbase e Bitgo dizem não ter sido afetadas; CZ pede cautela

“Chame-me de paranóico, mas tenha muito cuidado ao visitar QUALQUER site nos próximos dias, já que alguns administradores de sites nem sempre estão em dia com os patches de segurança”, alertou o cofundador da Binance, Changpeng Zhao (CZ), acrescentando que os sites afetados poderiam se tornar “vetores para roubo de credenciais ou explorações de dispositivos”. A própria Binance afirmou que “implementou medidas de proteção proativas antes do lançamento oficial do patch e concluiu as correções necessárias”.

Atualize ou fique offline

O PHP é uma linguagem de programação usada por cerca de 70% dos sites cuja linguagem do lado do servidor é conhecida, de acordo com a W3Techs. O CERT-EU alertou que as vulnerabilidades poderiam permitir que invasores executassem seu próprio código em um servidor sem precisar fazer login. A equipe do PHP lançou correções em 21 de outubro. No entanto, cada administrador de site deve instalá-las, deixando os sites sem patch potencialmente expostos.

“Se uma atualização imediata não for viável, recomenda-se que as organizações tirem o sistema do ar até que a vulnerabilidade possa ser totalmente mitigada”, alertou a Agência de Segurança Nacional dos EUA.

“Milhões” de tentativas de exploração

Até o momento, apenas alguns dos principais participantes do mercado de criptoativos abordaram publicamente a questão. Alguns, incluindo Pancakeswap e Bitget Wallet, afirmaram que não utilizam PHP, enquanto a Kaia Chain declarou que o PHP não faz parte de sua pilha de tecnologia principal. A Coinbase e a Bitgo afirmaram não ter encontrado nenhuma exposição às vulnerabilidades.

“Também estamos trabalhando com nossos fornecedores terceirizados para garantir uma segurança adicional”, disse Jeff Lunglhofer, diretor de segurança da Coinbase, no X.

Até o momento, não foram relatados casos de exploração de empresas de criptomoedas nem perda de fundos dos usuários, mas os invasores estão se tornando cada vez mais ativos.

“Nas 10 horas antes do anúncio público, em toda a rede @Cloudflare, observamos milhares de tentativas de exploração. Esse número saltou para dezenas de milhares nos 45 minutos após o anúncio, centenas de milhares em 2 horas e, agora, milhões”, afirmou Matthew Prince, CEO da Cloudflare, um importante provedor de serviços em nuvem.

Tentativas de ataque anteriores e problemas em pequenas empresas

Mesmo que uma empresa tenha corrigido a vulnerabilidade do PHP em 21 de outubro, isso não significa que os invasores não a tenham explorado antes. Por exemplo, a Amazon detectou uma tentativa de exploração do PHP2Shell que remonta a 17 de outubro.

“Mas os defensores não devem presumir que a data de divulgação pública seja a data mais antiga de exploração”, alertou CJ Moses, diretor de segurança da informação da Amazon Integrated Security.

Serviços menores de ativos criptográficos, incluindo comerciantes que aceitam bitcoin e outros ativos criptográficos, enfrentam um problema à parte: eles podem aplicar as correções com atraso ou nem aplicá-las. Enquanto grandes empresas contam com equipes de segurança dedicadas, uma pequena loja que aceita bitcoin (BTC) por meio de um plugin do WordPress pode ter que contar com seus próprios recursos ou com seu provedor de hospedagem para aplicar o patch no PHP. O popular processador de pagamentos em bitcoin de código aberto BTCPay Server não roda no próprio PHP, mas seu plugin do WooCommerce para lojas no WordPress sim.

A Agência de Segurança Cibernética e de Infraestrutura dos EUA também recomendou que as organizações tirem os sistemas baseados em PHP do ar até que possam aplicar as correções ou atualizá-los.

Problemas com a eMudhra e alerta da Lightning Labs

Enquanto isso, o setor de bitcoin e criptomoedas está lidando com outra vulnerabilidade relacionada à eMudhra, uma autoridade certificadora digital indiana. Pesquisadores descobriram que as chaves privadas de oito de seus certificados intermediários eram extremamente fracas.

Quando um usuário acessa um site via HTTPS, o software verifica seu certificado digital para confirmar a identidade do site. Com uma dessas chaves fracas, um invasor poderia criar um certificado falso para o site de uma corretora.

Os navegadores já começaram a bloquear esses certificados. No entanto, outros softwares, como bots de negociação ou aplicativos com suas próprias listas de certificados, podem não fazer o mesmo. Os usuários devem atualizar seus softwares para garantir que eles rejeitem os certificados afetados.

Olaoluwa Osuntokun, diretor de tecnologia da Lightning Labs, pediu aos usuários de seus softwares de Bitcoin e Lightning Network que fizessem a atualização imediatamente após a descoberta da vulnerabilidade do eMudhra.

Fique atento

Embora os usuários não possam aplicar patches nos servidores dos sites que visitam, eles podem tomar precauções. Devem usar sites oficiais salvos nos favoritos e ignorar mensagens de “atualização urgente”. Como sempre, é especialmente importante verificar cuidadosamente para onde seus bitcoins ou outros ativos criptográficos estão sendo enviados. Uma carteira de hardware exibe o endereço para o qual os fundos estão sendo enviados, mas não pode dizer se um site hackeado exibiu o endereço errado. Os usuários devem confirmar os endereços de destino por meio de uma segunda fonte, como o aplicativo da corretora ou um endereço salvo.

“Vou mudar da área de desenvolvimento para a marcenaria. É mais seguro. Me liguem de novo quando as pessoas tiverem consertado tudo”, brincou Nicolas Dorier, fundador do BTCPay Server.