Интернет пережил самые тяжелые 48 часов в истории кибербезопасности. За 20–21 октября случились четыре инцидента, каждый из которых в обычный год стал бы главным событием. Месяц уже окрестили «черным октябрем».
Рассказываем, как инциденты повлияли на крипторынок и инвесторов.
Четыре удара за двое суток
Главный — PHP2Shell. Так назвали две критические уязвимости в PHP, языке, на котором работает около 70% сайтов в мире. Они позволяют запускать на сервере любой код без логина и пароля. О проблеме объявили 20 октября, экстренное обновление вышло 21-го.
Многие сайты, включая государственные в Европе, на это время отключили. В компании Wiz назвали находку одной из самых серьезных уязвимостей за всю историю PHP. Ошибки в коде существовали десятилетиями, но превратить их в рабочую атаку удалось только с помощью ИИ.
Второй — провал индийского центра eMudhra. Такие центры выдают сертификаты, которые подтверждают, что сайт настоящий. Восемь сертификатов eMudhra защищались настолько слабыми ключами, что их можно было вычислить меньше чем за секунду.
К 20 октября сертификаты заблокировали Chrome, Apple и Microsoft. eMudhra отозвала их и оценила, что заменить придется около 30 000 клиентских сертификатов.
Третий — взлом облачной платформы Railway, на которой разработчики размещают свои приложения. 21 октября компания обнаружила, что посторонний получил доступ к настройкам клиентских проектов. Часть данных злоумышленник расшифровал — там хранились ключи к внешним сервисам и пароли от баз данных. Railway остановила работу платформы и попросила всех клиентов сменить ключи и пароли.
Четвертый — Node.js, платформа, на которой работают серверы многих приложений. 21 октября вышли обновления для версий 22, 24 и 26. Самая опасная ошибка была в модуле распаковки данных. Если сервер получал специально подготовленный файл, злоумышленник мог запустить на нем свой код.
Последствия для криптоиндустрии
Ни одна биржа и ни один кошелек о взломе не сообщили. Но руководители безопасности крупных компаний забили тревогу. Директор по безопасности биржи Kraken Ник Перкоко призвал срочно обновлять все серверы с PHP, а если это невозможно — отключать их от интернета или закрывать защитным экраном. После обновления он советует проверить серверы на чужие учетные записи администраторов и скрытые программы для удаленного управления.
Закрытая уязвимость не выгоняет того, кто уже успел пробраться внутрь. Отдельный риск — роутеры, сетевые хранилища и панели управления со встроенным PHP. Обновления для них выпускает производитель, и некоторые устройства могут не получить их никогда.
Технический директор производителя аппаратных кошельков Ledger Шарль Гийме обратил внимание на то, что угрозы наложились друг на друга. Node.js работает на серверах, которые связывают криптоприложения с блокчейнами. А сертификаты eMudhra отвечали за проверку подлинности соединений, через которые биржи и кастодианы общаются с внешними сервисами.
Cloudflare следов атак через эти сертификаты не нашла, но советует всем обновить списки доверенных сертификатов на своих серверах.
Инцидент Railway бьет по другому месту. Среди украденных данных были ключи к ИИ-сервисам. При этом платформу используют криптопроекты.
Будь в курсе! Подписывайся на Телеграм.
