Coinbase- Bitgo ยันไม่กระทบช่องโหว่ PHP; CZ Binance เตือนระวัง

"เรียกผมว่าหวาดระแวงก็ได้ แต่ขอให้ระมัดระวังเป็นพิเศษเมื่อเข้าชมเว็บไซต์ใดก็ตามในอีกไม่กี่วันข้างหน้า เนื่องจากผู้ดูแลเว็บไซต์บางรายอาจไม่ได้อัปเดตแพตช์ความปลอดภัยอย่างสม่ำเสมอ" Changpeng Zhao (CZ) ผู้ร่วมก่อตั้ง Binance เตือน พร้อมเสริมว่าเว็บไซต์ที่ได้รับผลกระทบอาจกลายเป็น "ช่องทางสำหรับการขโมยข้อมูลรับรองหรือการโจมตีอุปกรณ์" Binance เองระบุว่าได้ "ดำเนินการป้องกันเชิงรุกก่อนการปล่อยแพตช์อย่างเป็นทางการ และได้ดำเนินการแก้ไขที่จำเป็นเสร็จสิ้นแล้ว"

อัปเดตหรือปิดการเชื่อมต่อ

PHP เป็นภาษาการเขียนโปรแกรมที่เว็บไซต์ประมาณ 70% ที่ทราบภาษาฝั่งเซิร์ฟเวอร์ใช้ ตามข้อมูลจาก W3Techs CERT-EU เตือนว่าช่องโหว่ดังกล่าวอาจทำให้ผู้โจมตีสามารถรันโค้ดของตนเองบนเซิร์ฟเวอร์ได้โดยไม่ต้องเข้าสู่ระบบ ทีม PHP ได้ปล่อยแพตช์แก้ไขเมื่อวันที่ 21 ตุลาคม อย่างไรก็ตาม ผู้ดูแลเว็บไซต์แต่ละแห่งต้องติดตั้งแพตช์ดังกล่าวด้วยตนเอง ทำให้เว็บไซต์ที่ยังไม่ได้รับการอัปเดตอาจยังคงมีความเสี่ยงอยู่ได้

"หากการอัปเดตทันทีเป็นไปไม่ได้ แนะนำให้องค์กรปิดระบบลงจนกว่าจะสามารถแก้ไขปัญหาได้อย่างสมบูรณ์" สำนักงานความมั่นคงแห่งชาติสหรัฐฯ (NSA) ได้เตือนไว้

'หลายล้าน' ครั้งที่พยายามโจมตี

จนถึงขณะนี้ มีเพียงผู้เล่นหลักในวงการสินทรัพย์ดิจิทัลไม่กี่รายเท่านั้นที่ออกมาชี้แจงปัญหานี้อย่างเป็นทางการ บางราย เช่น Pancakeswap และ Bitget Wallet ระบุว่าพวกเขาไม่ใช้ PHP ส่วน Kaia Chain ระบุว่า PHP ไม่เป็นส่วนหนึ่งของระบบหลักของพวกเขา ส่วน Coinbase และ Bitgo ระบุว่ายังไม่พบความเสี่ยงจากช่องโหว่ดังกล่าว

"เรายังทำงานร่วมกับผู้จัดหาบริการจากฝ่ายที่สามเพื่อเพิ่มความมั่นใจ" Jeff Lunglhofer ผู้อำนวยการด้านความปลอดภัยของ Coinbase กล่าวบน X.

จนถึงขณะนี้ ยังไม่มีรายงานการโจมตีต่อบริษัทคริปโตหรือการสูญเสียเงินของผู้ใช้ แต่ผู้โจมตีเริ่มมีความเคลื่อนไหวมากขึ้นเรื่อยๆ

"ใน 10 ชั่วโมงก่อนการประกาศอย่างเป็นทางการ เราได้สังเกตเห็นการพยายามโจมตีเพื่อหาประโยชน์จากช่องโหว่นี้หลายพันครั้งทั่วเครือข่าย @Cloudflare จำนวนนี้เพิ่มขึ้นเป็นหลายหมื่นครั้งใน 45 นาทีหลังการประกาศ หลายแสนครั้งภายใน 2 ชั่วโมง และปัจจุบันอยู่ที่หลายล้านครั้งแล้ว" Matthew Prince ซีอีโอของ Cloudflare ผู้ให้บริการคลาวด์รายใหญ่ กล่าว

การพยายามโจมตีก่อนหน้านี้และปัญหาของร้านค้าขนาดเล็ก

แม้บริษัทจะแก้ไขช่องโหว่ PHP เมื่อวันที่ 21 ตุลาคมแล้ว แต่ไม่ได้หมายความว่าผู้โจมตีไม่ได้ใช้ช่องโหว่นี้มาก่อน ตัวอย่างเช่น Amazon พบความพยายามโจมตี PHP2Shell ที่เกิดขึ้นตั้งแต่วันที่ 17 ตุลาคม

"แต่ผู้ป้องกันไม่ควรสมมติว่าวันที่เปิดเผยต่อสาธารณะคือวันที่ถูกโจมตีครั้งแรก" CJ Moses หัวหน้าฝ่ายความปลอดภัยข้อมูลของ Amazon Integrated Security เตือนว่า

บริการสินทรัพย์คริปโตขนาดเล็ก รวมถึงผู้ค้าที่รับบิตคอยน์และสินทรัพย์คริปโตอื่น ๆ ต้องเผชิญกับปัญหาอีกประการหนึ่ง: พวกเขาอาจติดตั้งแพตช์ช้า หรือไม่ติดตั้งเลย ในขณะที่บริษัทใหญ่มีทีมความปลอดภัยเฉพาะ แต่ร้านค้าขนาดเล็กที่รับบิตคอยน์ (BTC) ผ่านปลั๊กอิน WordPress อาจต้องพึ่งพาทรัพยากรของตัวเองหรือผู้ให้บริการเว็บโฮสติ้งเพื่อติดตั้งแพตช์ PHP ระบบประมวลผลการชำระเงินบิตคอยน์แบบโอเพนซอร์สที่ได้รับความนิยมอย่าง BTCPay Server ไม่ได้ทำงานบน PHP เอง แต่ปลั๊กอิน Woocommerce ของมันสำหรับร้านค้า WordPress นั้นทำงานบน PHP

สำนักงานความมั่นคงทางไซเบอร์และโครงสร้างพื้นฐานของสหรัฐอเมริกา (CISA) ยังได้แนะนำให้องค์กรต่างๆ ปิดระบบที่ใช้ PHP จนกว่าจะสามารถติดตั้งแพตช์หรืออัปเดตได้

ปัญหา eMudhra และคำเตือนจาก Lightning Labs

ในขณะเดียวกัน อุตสาหกรรมบิตคอยน์และคริปโตกำลังเผชิญกับช่องโหว่อีกจุดที่เกี่ยวข้องกับ eMudhra ซึ่งเป็นหน่วยงานออกใบรับรองดิจิทัลของอินเดีย นักวิจัยพบว่ากุญแจส่วนตัวของใบรับรองระดับกลาง 8 ใบมีความอ่อนแออย่างยิ่ง

เมื่อผู้ใช้เข้าชมเว็บไซต์ผ่าน HTTPS ซอฟต์แวร์จะตรวจสอบใบรับรองดิจิทัลเพื่อยืนยันตัวตนของเว็บไซต์ ด้วยกุญแจส่วนตัวที่อ่อนแอเหล่านี้ ผู้โจมตีสามารถสร้างใบรับรองปลอมสำหรับเว็บไซต์ของแพลตฟอร์มแลกเปลี่ยนได้

เบราว์เซอร์ได้เริ่มบล็อกใบรับรองเหล่านี้แล้ว อย่างไรก็ตาม ซอฟต์แวร์อื่น ๆ เช่น บอทซื้อขายหรือแอปพลิเคชันที่มีรายชื่อใบรับรองของตัวเอง อาจไม่ทำเช่นนั้น ผู้ใช้ควรอัปเดตซอฟต์แวร์ของตนเพื่อให้แน่ใจว่าซอฟต์แวร์จะปฏิเสธใบรับรองที่ได้รับผลกระทบ

Olaoluwa Osuntokun ผู้อำนวยการด้านเทคโนโลยี (CTO) ของ Lightning Labs ได้เรียกร้องให้ผู้ใช้ซอฟต์แวร์ Bitcoin และ Lightning Network ของบริษัทอัปเดตทันทีหลังจากที่ช่องโหว่ eMudhra ถูกค้นพบ

ระมัดระวังอยู่เสมอ

แม้ว่าผู้ใช้จะไม่สามารถแก้ไขเซิร์ฟเวอร์ของเว็บไซต์ที่พวกเขาเข้าชมได้ แต่พวกเขาก็สามารถดำเนินการป้องกันได้ โดยควรใช้เว็บไซต์อย่างเป็นทางการที่บันทึกไว้ในบุ๊กมาร์ก และเพิกเฉยต่อข้อความ "อัปเดตด่วน" เช่นเดียวกับทุกครั้ง การตรวจสอบซ้ำว่าบิตคอยน์หรือสินทรัพย์คริปโตอื่นๆ ของคุณถูกส่งไปที่ใดนั้นเป็นสิ่งสำคัญอย่างยิ่ง กระเป๋าฮาร์ดแวร์จะแสดงที่อยู่ที่จะส่งเงินไป แต่ไม่สามารถระบุได้ว่าเว็บไซต์ที่ถูกแฮ็กแสดงที่อยู่ผิดหรือไม่ ผู้ใช้ควรยืนยันที่อยู่ผู้รับผ่านแหล่งข้อมูลที่สอง เช่น แอปของแพลตฟอร์มแลกเปลี่ยนหรือที่อยู่ที่ถูกบันทึกไว้

"ผมจะเปลี่ยนจากงานพัฒนาไปทำงานไม้แทนครับ มันปลอดภัยกว่าครับ โทรมาหาผมอีกทีเมื่อทุกคนแก้ไขทุกอย่างเรียบร้อยแล้ว" Nicolas Dorier ผู้ก่อตั้ง BTCPay Server กล่าวติดตลก