BTC
ETH
USDT
BNB
XRP
SOL
TRX
ZEC
DOGE
XMR
ADA
BCH
LTC
GRAM
DASH
Trust Wallet официально вмешался в разгорающуюся панику вокруг критической уязвимости в PHP и заявил, что его кошелек никак не связан с пострадавшей технологией. Заявление появилось на фоне экстренного предупреждения американского регулятора и серии похожих постов от других крупных игроков рынка, которые решили не молчать, пока слухи расползаются по соцсетям.
Что за дыра нашлась в PHP и почему испугался весь интернет
21 октября американское агентство национальной безопасности, точнее его киберподразделение NSA Cyber, выпустило экстренное предупреждение для всех организаций, использующих язык программирования PHP. Специалисты обнаружили два критических бага в ядре языка - CVE-2026-109618 и CVE-2026-109619. Проблема серьезная: обе уязвимости позволяют выполнять произвольный код на сервере удаленно, без какой-либо авторизации. На техническом жаргоне это называется unauthenticated RCE, и для злоумышленника это практически золотой ключ от чужого сервера.
Проблема в масштабе. Значительная часть классического интернета, включая платформы на WordPress и системы с PHP-FPM, построена именно на PHP. Под ударом разом оказались миллионы веб-ресурсов. Разработчики языка отреагировали быстро и выпустили патчи в версиях 8.5.12, 8.4.27, 8.3.36 и 8.2.35, но информационная волна уже пошла дальше - в сторону криптовалютного рынка, где пользователи традиционно очень нервно реагируют на любые инфраструктурные риски.
Trust Wallet официально закрывает тему
Чтобы остановить волну домыслов вокруг PHP exploit, команда Trust Wallet опубликовала официальное заявление в X. Разработчики прямо написали, что приложения и ключевая инфраструктура кошелька никак не связаны с PHP, а значит инцидент не затрагивает пользователей продукта ни напрямую, ни косвенно.
Технологический стек децентрализованных кошельков вроде Trust Wallet изначально построен на других архитектурных решениях, изолированных от PHP. По сути, заявление носило скорее упреждающий характер - команда решила выступить до того, как слухи наберут обороты, а не после. Похожие по смыслу подтверждения об отсутствии PHP в собственной экосистеме ранее выпустили представители BNB Chain и децентрализованной биржи PancakeSwap.
Отдельно стоит упомянуть, что часть пользователей ищет информацию о кошельке по ошибочному запросу "trustvalet" - это просто опечатка, продукт называется именно Trust Wallet, и никакого отдельного сервиса с похожим названием, затронутого уязвимостью, не существует.
Позиция Чанпэн Чжао и крупных игроков рынка
На ситуацию отреагировал основатель Binance Чанпэн Чжао, известный под ником CZ. Он опубликовал серию постов, в которых подчеркнул, что большинству проектов стоило бы хотя бы выпустить подобные подтверждения безопасности, потому что молчание во время глобальных ИТ-сбоев само по себе порождает ложные слухи и сеет панику среди пользователей.
No crypto wallet is 100% safe. No software is bug free. No tech is 100% secure. There are risks in everything you do. There are risks if you don't do anything. There will be issues, setbacks and problems to solve. Stay up-to-date. Manage risks. Solve problems.
Эта мысль CZ не новая, но она хорошо ложится на ситуацию. Абсолютной безопасности не существует ни у одного продукта, и задача команды разработки - не обещать невозможное, а оперативно информировать пользователей и управлять рисками. Подробнее о том, как именно уязвимость в PHP затронула крипторынок и почему CZ вообще решил поднять тревогу, мы разбирали в материале о предупреждении CZ насчет дыры в PHP.
А что с десктопной версией и trustwallet pc
Отдельный вопрос, который волнует часть аудитории, - затронула ли уязвимость desktop-версии и браузерные расширения, которые в поиске часто обозначают как trustwallet pc. Официального отдельного заявления именно про десктопный клиент команда не выпускала, но логика та же, что и в общем сообщении про всю инфраструктуру. Приложения Trust Wallet, включая расширение для браузера и мобильные версии, не используют PHP ни на уровне клиента, ни на уровне ключевых бэкенд-сервисов, отвечающих за хранение приватных ключей. Это значит, что пользователи trustwallet pc точно так же защищены от этого конкретного инцидента, как и владельцы мобильного приложения.
Главный риск сейчас не в коде, а в фишинге
Парадокс подобных новостей в том, что сама уязвимость в PHP для держателей криптовалюты сейчас практически не опасна, а вот информационный шум вокруг нее - вполне. Единственная реальная угроза для владельцев биткоин кошелек и других крипто-активов на данный момент - это активизация фишеров, которые могут использовать новостной фон вокруг PHP exploit для рассылки поддельных "обновлений безопасности". Схема классическая: пользователю приходит письмо или сообщение в духе "срочно обновите кошелек из-за критической уязвимости", а по ссылке его ждет не патч, а форма для ввода seed-фразы.
Стоит помнить, что ни Trust Wallet, ни любой другой легитимный проект никогда не попросит вас ввести seed-фразу через сторонний сайт или прислать ее в сообщении под предлогом "экстренного обновления безопасности". Подобные информационные поводы - от сбоев инфраструктуры до паники вокруг отдельных протоколов - злоумышленники использовали и раньше. Например, похожая волна слухов и неразберихи возникла вокруг недавнего двухчасового сбоя валидаторов в сети XRP Ledger, когда пользователи тоже на время потеряли ориентиры в происходящем.
Что стоит делать держателям криптовалюты прямо сейчас
Если вы пользуетесь Trust Wallet или любым другим некастодиальным кошельком, сама новость про PHP exploit не требует от вас никаких экстренных действий именно в отношении самого кошелька. Разумный план действий простой.
- Не переходить по ссылкам из писем и сообщений с призывом срочно "обновить безопасность" кошелька.
- Проверять официальные источники проекта (сайт, верифицированный аккаунт в X) перед тем, как доверять любому заявлению о взломе или уязвимости.
- Обновлять приложения только через официальные магазины приложений или сайт разработчика.
- Если вы администрируете собственный сайт на PHP (например, связанный с WordPress), как можно скорее обновиться до патченных версий 8.5.12, 8.4.27, 8.3.36 или 8.2.35.
История с PHP exploit получилась показательной в первую очередь не из-за реального ущерба, а из-за скорости реакции крупных игроков. Trust Wallet, BNB Chain, PancakeSwap и лично CZ предпочли высказаться публично и быстро, а не отмалчиваться и ждать, пока слухи сами собой утихнут. На фоне общей истории с крипто-безопасностью, где регулярно обсуждаются и куда более серьезные случаи отмывания денег через криптовалюту, как в истории с подпольным банком на 21 миллион евро, нынешний инцидент с PHP скорее учебный пример того, как должна выглядеть правильная коммуникация во время кризиса.
