Coinbase и Bitgo: уязвимость PHP нас не затронула; CZ призвал к осторожности

«Называйте меня параноиком, но будьте особенно осторожны при посещении ЛЮБОГО веб-сайта в ближайшие несколько дней, так как некоторые веб-администраторы не всегда своевременно устанавливают патчи безопасности», — предупредил соучредитель Binance Чанпэн Чжао (CZ), добавив, что уязвимые сайты могут стать «каналами для кражи учетных данных или атак на устройства». Сама Binance заявила, что «приняла упреждающие меры безопасности до официального выпуска исправления и завершила необходимые корректирующие действия».

Обновитесь или отключитесь от сети

PHP — это язык программирования, который, по данным W3Techs, используется примерно на 70 % веб-сайтов, серверный язык которых известен. CERT-EU предупредил, что эти уязвимости могут позволить злоумышленникам выполнять свой собственный код на сервере без входа в систему. Команда разработчиков PHP выпустила исправления 21 октября. Однако каждый администратор веб-сайта должен установить их самостоятельно, в результате чего сайты, не получившие исправления, остаются потенциально уязвимыми.

«Если немедленное обновление невозможно, организациям рекомендуется отключить систему от сети до тех пор, пока угроза не будет полностью устранена», — предупредило Агентство национальной безопасности США.

«Миллионы» попыток злоупотребления

На данный момент лишь несколько крупных игроков рынка криптоактивов публично прокомментировали эту проблему. Некоторые из них, в том числе Pancakeswap и Bitget Wallet, заявили, что не используют PHP, а Kaia Chain сообщила, что PHP не входит в состав её основного стека. Coinbase и Bitgo заявили, что не обнаружили уязвимостей в своих системах.

«Мы также сотрудничаем с нашими сторонними поставщиками для дополнительной гарантии безопасности», — заявил Джефф Лунгхофер, директор по безопасности Coinbase, в X.

На данный момент не поступало сообщений о злоупотреблениях в отношении криптокомпаний или потере средств пользователей, однако злоумышленники становятся все более активными.

»За 10 часов до публичного объявления в сети @Cloudflare мы зафиксировали тысячи попыток злоупотребления этой уязвимостью. В течение 45 минут после объявления их число возросло до десятков тысяч, за 2 часа — до сотен тысяч, а сейчас — до миллионов», — заявил Мэтью Принс, генеральный директор Cloudflare, крупного поставщика облачных услуг.

Ранее зафиксированные попытки атак и проблемы небольших компаний

Даже если компания исправила уязвимость PHP 21 октября, это не означает, что злоумышленники не использовали её ранее. Например, Amazon обнаружила попытку эксплуатации уязвимости PHP2Shell, датируемую 17 октября.

«Однако специалисты по информационной безопасности не должны считать, что дата публичного раскрытия уязвимости является самой ранней датой её использования», — предупредил главный специалист по информационной безопасности Amazon Integrated Security Си Джей Мозес.

Небольшие сервисы по работе с криптоактивами, в том числе продавцы, принимающие биткоины и другие криптоактивы, сталкиваются с отдельной проблемой: они могут установить исправления с опозданием или вообще не установить их. В то время как крупные компании имеют специализированные команды по безопасности, небольшой магазин, принимающий биткойны (BTC) через плагин для WordPress, может быть вынужден полагаться на собственные ресурсы или на своего веб-хостинга для установки исправлений для PHP. Популярный процессор платежей в биткойнах с открытым исходным кодом BTCPay Server сам по себе не работает на PHP, но его плагин для WooCommerce, предназначенный для магазинов на WordPress, работает именно на PHP.

Агентство по кибербезопасности и безопасности инфраструктуры США также рекомендовало организациям отключить системы на базе PHP до тех пор, пока они не смогут установить исправления или обновить их.

Проблемы с eMudhra и предупреждение Lightning Labs

Между тем индустрия биткойнов и криптовалют сталкивается с ещё одной уязвимостью, связанной с eMudhra — индийским центром выдачи цифровых сертификатов. Исследователи обнаружили, что закрытые ключи для восьми промежуточных сертификатов этого центра были чрезвычайно слабыми.

Когда пользователь посещает веб-сайт по протоколу HTTPS, программное обеспечение проверяет его цифровой сертификат, чтобы подтвердить подлинность сайта. Используя один из этих слабых ключей, злоумышленник может создать поддельный сертификат для сайта биржи.

Браузеры уже начали блокировать эти сертификаты. Однако другое программное обеспечение, такое как торговые боты или приложения со своими собственными списками сертификатов, может этого не делать. Пользователям следует обновить свое программное обеспечение, чтобы оно отклоняло уязвимые сертификаты.

Олаолува Осунтокун, технический директор Lightning Labs, призвал пользователей своего программного обеспечения для работы с биткоином и сетью Lightning Network обновить его сразу же после обнаружения уязвимости eMudhra.

Будьте бдительны

Хотя пользователи не могут исправить уязвимости на серверах посещаемых ими сайтов, они могут принять меры предосторожности. Им следует пользоваться официальными сайтами, добавленными в закладки, и игнорировать сообщения о «срочном обновлении». Как всегда, особенно важно дважды проверять, куда отправляются их биткойны или другие криптоактивы. Аппаратный кошелек отображает адрес, на который отправляются средства, но он не может определить, не показал ли взломанный веб-сайт неверный адрес. Пользователям следует подтверждать адреса получения через второй источник, например, через приложение биржи или сохраненный адрес.

«Я собираюсь перейти из разработки в столярное дело. Это безопаснее. Позвоните мне снова, когда всё исправят», — пошутил Николас Дорье, основатель BTCPay Server.