Coinbase 和 Bitgo 表示未受 PHP 漏洞影响；币安的 CZ 呼吁谨慎行事

“尽管有人说我多疑，但在未来几天访问任何网站时都请格外小心，因为部分网站管理员并不总是及时安装安全补丁，”币安联合创始人赵长鹏（CZ）警告道，并补充称受影响的网站可能成为“窃取凭证或利用设备漏洞的载体”。 币安方面表示，其“已在官方补丁发布前实施了主动防护措施，并完成了必要的修复工作”。

更新或断网

据 W3Techs 统计，约 70% 的已知服务器端语言为 PHP 的网站使用该编程语言。CERT-EU 警告称，这些漏洞可能使攻击者无需登录即可在服务器上执行自己的代码。 PHP 团队已于10月21日发布了修复程序。然而，每个网站管理员都必须自行安装这些补丁，因此未打补丁的网站仍可能面临风险。“如果无法立即更新，建议组织将系统下线，直到风险得到完全缓解，”美国国家安全局警告道。

“数百万”次攻击尝试

到目前为止，只有少数几家主要的加密资产公司公开回应了这一问题。其中，Pancakeswap和Bitget Wallet等公司表示不使用PHP，而Kaia Chain则表示PHP不属于其核心技术栈。Coinbase和Bitgo表示未发现存在该漏洞的风险。

“我们还正在与第三方供应商合作，以获得额外的保障，”Coinbase首席安全官杰夫·朗格霍夫（Jeff Lunglhofer）在X平台上表示。目前尚未有加密货币公司遭到攻击或用户资金损失的报告，但攻击者的活动正日益频繁。‘在该漏洞公开披露前的10小时内，我们在@Cloudflare网络上观察到数千次利用尝试。公告发布后的45分钟内，这一数字跃升至数万次；2小时内达到数十万次；目前已达数百万次，’大型云服务提供商Cloudflare的首席执行官马修·普林斯表示。

早前的攻击尝试与小型企业的问题

即使某家公司已在10月21日修补了该PHP漏洞，也不意味着攻击者此前未曾利用过它。例如，亚马逊就发现了一起可追溯至10月17日的PHP2Shell利用尝试。

“但安全防御人员不应假设公开披露日期就是最早的利用日期，”亚马逊综合安全部门首席信息安全官CJ·摩西警告道。规模较小的加密资产服务商——包括接受比特币及其他加密资产的商户——面临着另一个问题：它们可能延迟应用补丁，甚至根本不进行修补。 虽然大型企业拥有专门的安全团队，但一家通过WordPress插件接受比特币（BTC）的小型商家可能不得不依靠自身资源或其网络托管服务商来修补PHP漏洞。广受欢迎的开源比特币支付处理器BTCPay Server本身并不运行在PHP上，但其面向WordPress商店的WooCommerce插件却运行在PHP上。

美国网络安全与基础设施安全局还建议各组织将基于PHP的系统下线，直到能够对其进行补丁修复或更新为止。

eMudhra问题与Lightning Labs警告

与此同时，比特币和加密货币行业正面临另一个与印度数字证书颁发机构 eMudhra 相关的漏洞。研究人员发现，该机构八个中间证书的私钥强度极低。 当用户通过 HTTPS 访问网站时，软件会检查其数字证书以确认网站身份。 利用其中一个弱密钥，攻击者可以为交易所网站生成伪造的证书。浏览器已开始屏蔽这些证书。然而，其他软件（如交易机器人或拥有独立证书列表的应用程序）可能不会这样做。用户应更新软件，以确保其能够拒绝受影响的证书。

Lightning Labs 首席技术官奥拉奥卢瓦·奥松托昆（Olaoluwa Osuntokun）在 eMudhra 漏洞被发现后，敦促其比特币和闪电网络软件的用户立即进行更新。

保持警惕

尽管用户无法修补所访问网站的服务器，但可以采取预防措施。他们应使用已添加到书签的官方网站，并忽略“紧急更新”提示。 一如既往，仔细核对比特币或其他加密资产的收款地址尤为重要。硬件钱包会显示资金的收款地址，但无法判断该地址是否被遭黑客攻击的网站篡改。用户应通过第二来源（如交易所应用或已保存的地址）确认收款地址。

“我打算从开发转行做木工了，这更安全。等大家把问题都解决了再给我打电话吧，”BTCPay Server的创始人尼古拉斯·多里耶（Nicolas Dorier）开玩笑说。