Цифровой шторм: Как критические уязвимости PHP и eMudhra поставили под угрозу всю криптоиндустрию
Тревога уровня «Красный»: Предупреждение Чанпэна Чжао
Скелет интернета: Уязвимость в PHP, на которой держится 70% сети
Цифры паники: «Миллионы» попыток взлома по данным Cloudflare
Уязвимость малого бизнеса: BTCPay Server и плагины WordPress
Вторая линия фронта: Слабые ключи eMudhra и угроза HTTPS
Инструкция по выживанию: Как защитить свои активы
Криптовалютный рынок привык жить в состоянии постоянной турбулентности, но обычно эта турбулентность связана с волатильностью цен или регуляторным давлением. Однако на этой неделе угроза пришла с неожиданной стороны — из самого фундамента интернета. Сразу две критические уязвимости — в языке программирования PHP и в системе цифровых сертификатов индийского центра eMudhra — заставили крупнейших игроков индустрии объявить режим повышенной готовности.
Соучредитель Binance Чанпэн Чжао (CZ), человек, который обычно сохраняет олимпийское спокойствие, выступил с редким и жестким предупреждением для миллионов пользователей.
«Называйте меня параноиком, но будьте особенно осторожны при посещении ЛЮБОГО веб-сайта в ближайшие несколько дней, так как некоторые веб-администраторы не всегда своевременно устанавливают патчи безопасности», — предупредил Чанпэн Чжао, добавив, что уязвимые сайты могут стать «каналами для кражи учетных данных или атак на устройства».
Сама биржа Binance оперативно отчиталась о том, что «приняла упреждающие меры безопасности до официального выпуска исправления и завершила необходимые корректирующие действия», но посыл лидера мнений был ясен: угроза носит глобальный характер и касается не только бирж, но и каждого клика в браузере.
Скелет интернета: PHP, на котором держится 70% сети, оказался уязвим
Первопричина тревоги кроется в языке программирования PHP. По данным аналитического ресурса W3Techs, PHP используется примерно на 70% веб-сайтов, чей серверный язык известен. Это WordPress, это миллионы интернет-магазинов, форумов и, что самое опасное, — бэкенды многих криптовалютных сервисов.
17 и 21 октября в PHP были обнаружены критические уязвимости типа Remote Code Execution (RCE). Их суть пугающе проста: они позволяют злоумышленнику выполнить свой собственный код на сервере, не имея логина и пароля. Фактически хакер получает полный контроль над чужим компьютером.
Европейское агентство по кибербезопасности (CERT-EU) бьет в набат, а Агентство национальной безопасности США (АНБ) выпустило рекомендацию, которая звучит как сценарий из фильма-катастрофы:
«Если немедленное обновление невозможно, организациям рекомендуется отключить систему от сети до тех пор, пока угроза не будет полностью устранена».
Проблема заключается в децентрализованности интернета. Команда разработчиков PHP выпустила исправления 21 октября, но «PHP не обновляется сам». Каждый из миллионов системных администраторов по всему миру должен вручную применить патч. И пока ленивый или некомпетентный админ спит, его сервер остается открытым порталом для кражи данных.
Цифры паники: «Миллионы» попыток взлома по данным Cloudflare
Злоумышленники не стали ждать, пока администраторы выпьют свой утренний кофе. Инфраструктура Cloudflare, через которую проходит огромный процент мирового трафика, зафиксировала взрывной рост атак.
«За 10 ча сов до публичного объявления в сети @Cloudflare мы зафиксировали тысячи попыток злоупотребления этой уязвимостью. В течение 45 минут после объявления их число возросло до десятков тысяч, за 2 часа — до сотен тысяч, а сейчас — до миллионов», — заявил Мэтью Принс, генеральный директор Cloudflare.
Этот шквал атак подтверждает худшие опасения: эксплойты (инструменты для взлома) были подготовлены заранее. Специалисты по информационной безопасности предупреждают, что дата публичного раскрытия — это не дата начала атак. Amazon обнаружила попытки эксплуатации уязвимости PHP2Shell, датируемые еще 17 октября.
«Однако специалисты по информационной безопасности не должны считать, что дата публичного раскрытия уязвимости является самой ранней датой её использования», — предупредил главный специалист по информационной безопасности Amazon Integrated Security Си Джей Мозес.
На данный момент лидеры рынка — Coinbase, Bitget Wallet, Pancakeswap и Kaia Chain — публично заявили, что либо не используют PHP в критических узлах, либо уже закрыли бреши.
«Мы также сотрудничаем с нашими сторонними поставщиками для дополнительной гарантии безопасности», — заявил Джефф Лунгхофер, директор по безопасности Coinbase, в X.
Однако отсутствие новостей о взломе не означает отсутствия самого взлома. Крупные компании имеют отделы из сотен экспертов, в то время как криптоинфраструктура состоит из тысяч мелких звеньев.
Уязвимость малого бизнеса: BTCPay Server и плагины WordPress
Главная мишень этой атаки — не «Сэбр» или Coinbase, а малый бизнес. Тысячи продавцов по всему миру принимают биткоины и другие криптовалюты через независимые шлюзы. Здесь и кроется ловушка.
Популярный процессор платежей BTCPay Server считается одним из самых безопасных решений, так как он с открытым исходным кодом и не хранит ключи. Но сам по себе сервер BTCPay не работает на PHP. Проблема в экосистеме: его плагин для интеграции с магазинами WooCommerce (на базе WordPress) работает именно на PHP.
Если владелец небольшого магазина сувениров за BTC не обновил свой WordPress, его сайт становится идеальным каналом для перехвата. Злоумышленник может внедрить скрипт, который подменит адрес кошелька в момент оплаты. Покупатель отправит 0.1 BTC, думая, что платит магазину, а на самом деле отправит их хакеру.
Николас Дорье, основатель BTCPay Server, известный своей прямотой, отреагировал на ситуацию с черным юмором, отражающим усталость разработчиков:
«Я собираюсь перейти из разработки в столярное дело. Это безопаснее. Позвоните мне снова, когда всё исправят».
Вторая линия фронта: Слабые ключи eMudhra и угроза HTTPS
Пока индустрия боролась с PHP, исследователи обнаружили вторую критическую брешь. На этот раз в системе доверия интернета — цифровых сертификатах. Индийский центр сертификации eMudhra, выдающий SSL/TLS сертификаты (те самые замочки в адресной строке), допустил фатальную ошибку.
Выяснилось, что закрытые ключи для восьми промежуточных сертификатов этого центра были «чрезвычайно слабыми». Это позволяет злоумышленнику, используя вычислительные мощности, подделать цифровой сертификат любого сайта.
Для обычного пользователя это означает, что сайт, который выглядит как настоящая биржа (есть замочек, есть правильный адрес), на самом деле является имитацией, созданной хакером. Браузеры (Chrome, Firefox) уже начали экстренную блокировку этих сертификатов. Однако специализированное ПО — торговые боты, кастомные приложения или аппаратные кошельки со своими списками доверенных узлов — может этого не сделать.
Олаолува Осунтокун, технический директор Lightning Labs, немедленно обратился к пользователям:
Олаолува Осунтокун, технический директор Lightning Labs, призвал пользователей своего программного обеспечения для работы с биткоином и сетью Lightning Network обновить его сразу же после обнаружения уязвимости eMudhra.
Инструкция по выживанию: Как защитить свои активы
Обычный пользователь не может обновить сервер PHP на любимом форуме или бирже. Но он может минимизировать риски потери средств, соблюдая строгую гигиену безопасности.
1. Закладки — ваши лучшие друзья. Никогда не переходите на биржи или кошельки по ссылкам из Telegram, Discord, почты или поисковых систем. Злоумышленники уже покупают рекламу по запросам «Binance login», ведя на фишинговые сайты. Используйте только сохраненные в браузере закладки.
2. Игнорируйте «срочные обновления». Если сайт внезапно просит вас обновить кошелек или ввести сид-фразу для «верификации» из-за якобы обнаруженной уязвимости — это 99% атака. Легитимные сервисы не просят сид-фразы.
3. Двойная проверка адресов (Anti-phishing). Это самый важный пункт в условиях уязвимости сертификатов. Если вы копируете адрес для перевода на сайте, взломанный PHP-скрипт может подменить его в буфере обмена или на самой странице.
- Аппаратный кошелек (Ledger, Trezor) отобразит реальный адрес назначения перед подписью. Всегда проверяйте адрес на экране устройства.
- Подтверждайте адреса получения через второй канал. Если вам прислали адрес в чате, сверьте хотя бы первые и последние 4 символа с тем, что отображается в приложении биржи или кошелька.
4. Обновляйте всё. Убедитесь, что ваши браузеры, операционные системы и мобильные кошельки обновлены. В новых версиях уже содержатся списки отозванных сертификатов eMudhra.
Заключение
Эта неделя стала холодным душем для криптоэнтузиастов. Она напомнила, что децентрализация блокчейна заканчивается там, где начинается централизованный веб-интерфейс. Мы можем владеть биткоином по-настоящему, но чтобы переместить его, нам приходится доверять стеку технологий, написанному на PHP и скрепленному индийскими цифровыми сертификатами.
Совет Чанпэна Чжао актуален как никогда. В ближайшие дни паранойя — это не признак душевного расстройства, а необходимый профессиональный навык для выживания в цифровом мире.
Наш биткоин миксер проводит еженедельный обзоринтересных новостей из мира криптовалюты.
Читайте блог: Mixer.money