Coinbase, Bitgo không bị ảnh hưởng lỗ hổng PHP; CZ kêu gọi thận trọng

"Có thể gọi tôi là người hoang tưởng, nhưng hãy đặc biệt cẩn thận khi truy cập BẤT KỲ trang web nào trong vài ngày tới, vì một số quản trị viên web không phải lúc nào cũng cập nhật các bản vá bảo mật", đồng sáng lập Binance Changpeng Zhao (CZ) cảnh báo, đồng thời bổ sung rằng các trang web bị ảnh hưởng có thể trở thành "phương tiện để đánh cắp thông tin đăng nhập hoặc khai thác thiết bị". Binance cho biết họ đã “triển khai các biện pháp bảo vệ chủ động trước khi bản vá chính thức được phát hành và đã hoàn tất các biện pháp khắc phục cần thiết.”

Cập nhật hoặc ngắt kết nối

Theo W3Techs, PHP là ngôn ngữ lập trình được sử dụng bởi khoảng 70% các trang web có ngôn ngữ phía máy chủ được xác định. CERT-EU cảnh báo rằng các lỗ hổng này có thể cho phép kẻ tấn công thực thi mã của riêng chúng trên máy chủ mà không cần đăng nhập. Nhóm phát triển PHP đã phát hành các bản vá vào ngày 21 tháng 10. Tuy nhiên, mỗi quản trị viên trang web phải tự cài đặt chúng, khiến các trang web chưa được vá có nguy cơ bị tấn công.

“Nếu không thể cập nhật ngay lập tức, các tổ chức nên ngừng hoạt động hệ thống cho đến khi có thể khắc phục hoàn toàn lỗ hổng,” Cơ quan An ninh Quốc gia Hoa Kỳ (NSA) cảnh báo.

'Hàng triệu' nỗ lực khai thác

Cho đến nay, chỉ có một số ít các công ty lớn trong lĩnh vực tiền điện tử đã công khai đề cập đến vấn đề này. Một số công ty, bao gồm Pancakeswap và Bitget Wallet, cho biết họ không sử dụng PHP, trong khi Kaia Chain khẳng định PHP không nằm trong nền tảng cốt lõi của họ. Coinbase và Bitgo cho biết họ chưa phát hiện bất kỳ lỗ hổng nào liên quan đến các lỗ hổng bảo mật này.

"Chúng tôi cũng đang hợp tác với các nhà cung cấp bên thứ ba để đảm bảo an toàn hơn nữa," Jeff Lunglhofer, Giám đốc An ninh của Coinbase, chia sẻ trên X.

Cho đến nay, chưa có báo cáo nào về việc các công ty tiền điện tử bị khai thác hoặc người dùng mất tiền, nhưng các kẻ tấn công đang ngày càng hoạt động mạnh mẽ hơn.

"Trong 10 giờ trước khi thông tin này được công bố rộng rãi, trên toàn mạng @Cloudflare, chúng tôi đã ghi nhận hàng nghìn nỗ lực khai thác lỗ hổng này. Con số này đã tăng vọt lên hàng chục nghìn trong 45 phút sau khi thông báo, hàng trăm nghìn trong vòng 2 giờ và hiện đã lên đến hàng triệu," Matthew Prince, Giám đốc Điều hành (CEO) của Cloudflare, một nhà cung cấp dịch vụ đám mây hàng đầu, cho biết.

Các nỗ lực tấn công trước đó và vấn đề tại các doanh nghiệp nhỏ

Ngay cả khi một công ty đã vá lỗ hổng PHP vào ngày 21 tháng 10, điều đó không có nghĩa là các kẻ tấn công chưa khai thác nó từ trước đó. Ví dụ, Amazon đã phát hiện một nỗ lực khai thác PHP2Shell từ ngày 17 tháng 10.

"Tuy nhiên, các chuyên gia bảo mật không nên cho rằng ngày công bố công khai chính là ngày sớm nhất mà lỗ hổng bị khai thác," ông CJ Moses, Giám đốc An ninh Thông tin của Amazon Integrated Security, cảnh báo.

Các dịch vụ tài sản tiền điện tử quy mô nhỏ, bao gồm các thương gia chấp nhận bitcoin và các loại tiền điện tử khác, phải đối mặt với một vấn đề riêng: Họ có thể vá lỗ hổng chậm trễ hoặc thậm chí không vá. Trong khi các công ty lớn có đội ngũ an ninh chuyên trách, một cửa hàng nhỏ chấp nhận bitcoin (BTC) thông qua plugin WordPress có thể phải dựa vào nguồn lực nội bộ hoặc nhà cung cấp dịch vụ lưu trữ web để vá lỗ hổng PHP. Bộ xử lý thanh toán bitcoin mã nguồn mở phổ biến BTCPay Server không chạy trên nền tảng PHP, nhưng plugin WooCommerce dành cho các cửa hàng WordPress của nó thì có.

Cơ quan An ninh Mạng và Cơ sở Hạ tầng Hoa Kỳ (CISA) cũng đã khuyến cáo các tổ chức ngừng hoạt động các hệ thống dựa trên PHP cho đến khi họ có thể vá lỗi hoặc cập nhật chúng.

Vấn đề với eMudhra và cảnh báo từ Lightning Labs

Trong khi đó, ngành công nghiệp Bitcoin và tiền điện tử đang phải đối mặt với một lỗ hổng bảo mật khác liên quan đến eMudhra, một cơ quan cấp chứng chỉ số của Ấn Độ. Các nhà nghiên cứu phát hiện ra rằng các khóa riêng tư của tám chứng chỉ trung gian của eMudhra cực kỳ yếu.

Khi người dùng truy cập một trang web qua HTTPS, phần mềm sẽ kiểm tra chứng chỉ số của trang web đó để xác minh danh tính của trang web. Với một trong những khóa yếu này, kẻ tấn công có thể tạo ra một chứng chỉ giả mạo cho trang web của một sàn giao dịch.

Các trình duyệt đã bắt đầu chặn các chứng chỉ này. Tuy nhiên, các phần mềm khác, chẳng hạn như bot giao dịch hoặc các ứng dụng có danh sách chứng chỉ riêng, có thể không thực hiện việc này. Người dùng nên cập nhật phần mềm của mình để đảm bảo rằng phần mềm đó từ chối các chứng chỉ bị ảnh hưởng.

Olaoluwa Osuntokun, giám đốc công nghệ tại Lightning Labs, đã khuyến cáo người dùng phần mềm Bitcoin và Lightning Network của công ty cập nhật ngay lập tức sau khi lỗ hổng eMudhra được phát hiện.

Hãy luôn cảnh giác

Mặc dù người dùng không thể vá các máy chủ của các trang web mà họ truy cập, họ vẫn có thể thực hiện các biện pháp phòng ngừa. Họ nên sử dụng các trang web chính thức đã được đánh dấu và bỏ qua các thông báo “cập nhật khẩn cấp”. Như thường lệ, việc kiểm tra kỹ lưỡng địa chỉ nhận Bitcoin hoặc các tài sản tiền điện tử khác là đặc biệt quan trọng. Ví phần cứng hiển thị địa chỉ nhận tiền, nhưng không thể xác định liệu trang web bị hack có hiển thị sai địa chỉ hay không. Người dùng nên xác nhận địa chỉ nhận thông qua một nguồn thứ hai, chẳng hạn như ứng dụng của sàn giao dịch hoặc địa chỉ đã lưu.

"Tôi sẽ chuyển từ lập trình sang làm mộc. Công việc này an toàn hơn. Hãy gọi lại cho tôi khi mọi người đã khắc phục xong mọi vấn đề," Nicolas Dorier, người sáng lập BTCPay Server, nói đùa.