BTC
ETH
USDT
BNB
XRP
SOL
TRX
ZEC
DOGE
XMR
ADA
BCH
LTC
GRAM
DASH
Крипто кошелек, который вы спокойно подключали к десяткам сайтов, внезапно оказался в зоне риска не из-за фишинговой ссылки и не из-за слабого пароля, а из-за дыры в коде языка программирования, на котором держится большая часть интернета. Глава платформы для поиска уязвимостей Immunefi Mitchell Amador предупредил, что критическая уязвимость в PHP оставляет сайты открытыми для атак ещё как минимум несколько недель, пока владельцы медленно накатывают экстренные патчи.
Крипто кошелек и PHP: при чём тут одно к другому
На первый взгляд связь между языком серверного программирования и вашим криптокошельком неочевидна. Но тут всё просто. Большинство бирж, маркетплейсов NFT и decentralized-приложений используют обычные веб-сайты с формами входа, виджетами подключения кошелька и прочей инфраструктурой, написанной на PHP. Если злоумышленник получает возможность внедрить на такой сайт вредоносный скрипт, он может подменить адрес получателя транзакции, перехватить сид-фразу через поддельное окно или заставить пользователя подписать разрешение на списание токенов. Крипто кошелек в этой схеме становится конечной целью, а скомпрометированный сайт - просто удобной точкой входа.
Криптовалютный кошелек это в первую очередь набор приватных ключей, а не само приложение или веб-страница, поэтому подключение к зараженному ресурсу само по себе ключи не раскрывает. Но именно через такие сайты пользователей обманом заставляют подписывать вредоносные транзакции, и тут уже не важно, насколько надежно вы храните сид-фразу.
Кто такой Mitchell Amador и почему его слова стоит воспринимать серьезно
Immunefi - крупнейшая в мире платформа bug bounty, которая, по собственным данным, выплатила исследователям уже $140 млн вознаграждений в рамках программ для 650 протоколов. Это значит, что Amador не теоретизирует, а видит реальную статистику атак на DeFi-протоколы и веб-инфраструктуру каждый день. Еще в июне он говорил изданию Cointelegraph, что распространение продвинутых AI-моделей сместило баланс сил в кибербезопасности в пользу атакующих - находить уязвимости стало дешево, а вот чинить их по-прежнему дорого и медленно.
Это "апокалипсис уязвимостей", который идет по графику, - сказал Amador, добавив, что в ближайшие недели любой сайт, в который вы заходите, стоит мысленно считать потенциально скомпрометированным.
Он отдельно подчеркнул, что пользователям стоит перестать повторно использовать пароли и проявлять осторожность при подключении криптовалютного кошелька к сторонним сайтам, а также регулярно проверять и отзывать незнакомые разрешения на токены.
Как устроена уязвимость и почему её чинили так долго
История началась не вчера. PHP Foundation признала, что задержала исправление критической ошибки безопасности, впервые обнаруженной еще в 2024 году, просто из-за нехватки ресурсов у команды разработчиков. В итоге экстренные патчи для двух критических уязвимостей вышли одновременно в одну среду, но одного релиза мало - каждый сайт, работающий на уязвимых версиях PHP, должен обновиться самостоятельно, а это происходит далеко не мгновенно.
По оценке исследовательского сервиса W3Techs, PHP используется примерно на 69% сайтов с известным серверным языком программирования. Это огромная доля интернета, включая множество небольших проектов, у которых нет выделенной команды безопасности и которые могут месяцами не обновлять серверное окружение. Именно такие сайты Amador называет главной зоной риска в ближайшие недели.
Миллионы попыток эксплуатации за считанные часы
Глава Cloudflare Matthew Prince сообщил в соцсети X, что сеть компании зафиксировала миллионы попыток эксплуатации уязвимости в течение суток после публичного раскрытия деталей, а отдельные попытки атак начались еще до официального объявления. Это существенно, учитывая, что через инфраструктуру Cloudflare проходит трафик примерно каждого пятого сайта в мире.
ФБР в своем Cyber Division также выпустило предупреждение о том, что уязвимость позволяет удаленно выполнять произвольный код в ядре PHP, потенциально давая доступ к конфиденциальным данным и внутренним сетям организаций. Для рядового пользователя это означает одно: сайт, который еще вчера выглядел абсолютно надежным, сегодня может незаметно раздавать вредоносные скрипты.
Что делать владельцам крипто кошелька прямо сейчас
Простого правила "не ходить на подозрительные сайты" тут недостаточно, потому что уязвимость затрагивает и вполне легитимные ресурсы, которые просто не успели обновиться. Amador советует относиться к любому сайту с подключением кошелька как к потенциально скомпрометированному как минимум ближайшие несколько недель. Крипто кошелек в такой ситуации стоит беречь особенно внимательно:
- не используйте один и тот же пароль на разных сайтах;
- минимизируйте количество сайтов, к которым подключен ваш крипто кошелек;
- регулярно проверяйте и отзывайте неизвестные или устаревшие одобрения токенов через блокчейн-эксплореры;
- избегайте подписания транзакций, суть которых вы не до конца понимаете, даже если сайт выглядит знакомым.
Эта история в очередной раз напоминает, что безопасность криптоактивов редко зависит от одного звена. Даже если вы сами не допустили ни одной ошибки, уязвимая инфраструктура сторонних сервисов способна подставить под удар именно ваш крипто кошелек. Похожая логика работает и при миграции между протоколами или сервисами - например, когда пользователям Sweat Wallet нужно успеть вывести активы до закрытия сервиса, или когда держателям токенов приходится разбираться, как безопасно обменять токены при слиянии протоколов, не потеряв их по дороге.
Холодный кошелек для криптовалюты как подушка безопасности
Именно в такие периоды особенно заметна разница между горячим кошельком, постоянно подключенным к браузеру и сайтам, и аппаратным устройством, которое хранит ключи офлайн. Холодный кошелек для криптовалюты не спасет от фишинга или социальной инженерии, но он радикально снижает риск того, что одна скомпрометированная веб-страница мгновенно подпишет транзакцию без вашего явного подтверждения на экране устройства. Если вы храните значительную сумму, выбор в пользу кошелька для криптовалюты с аппаратной подписью транзакций сейчас выглядит разумнее, чем когда-либо.
Пока PHP Foundation и администраторы сайтов по всему миру спешно накатывают обновления, пользователям остается то же, что советует Amador - не торопиться с подключением криптовалютного кошелька к незнакомым или давно не обновлявшимся сервисам и держать под рукой список выданных разрешений на токены. Апокалипсис уязвимостей, о котором говорит глава Immunefi, не обязательно закончится катастрофой для конкретного человека, если тот не откладывает базовую цифровую гигиену в долгий ящик.
