Coinbase und Bitgo: Nicht von PHP-Lücke betroffen; CZ mahnt Vorsicht

„Nennt mich paranoid, aber seid in den nächsten Tagen besonders vorsichtig beim Besuch JEDER Website, da einige Webadministratoren nicht immer auf dem neuesten Stand der Sicherheitspatches sind“, warnte Binance-Mitbegründer Changpeng Zhao (CZ) und fügte hinzu, dass betroffene Websites zu „Vektoren für den Diebstahl von Zugangsdaten oder Geräte-Exploits“ werden könnten. Binance selbst erklärte, man habe „bereits vor der offiziellen Veröffentlichung des Patches proaktive Sicherheitsmaßnahmen ergriffen und die notwendigen Korrekturen vorgenommen“.

Aktualisieren oder offline gehen

PHP ist eine Programmiersprache, die laut W3Techs von etwa 70 % der Websites verwendet wird, deren serverseitige Sprache bekannt ist. CERT-EU warnte, dass die Sicherheitslücken es Angreifern ermöglichen könnten, eigenen Code auf einem Server auszuführen, ohne sich anzumelden. Das PHP-Team veröffentlichte am 21. Oktober Korrekturen. Diese müssen jedoch von jedem Website-Administrator installiert werden, sodass nicht gepatchte Websites potenziell gefährdet bleiben. „Wenn ein sofortiges Update nicht möglich ist, wird empfohlen, dass Organisationen das System offline nehmen, bis die Sicherheitslücke vollständig behoben ist“, warnte die US-amerikanische National Security Agency.

„Millionen“ von Ausnutzungsversuchen

Bislang haben sich nur wenige große Akteure im Bereich der Krypto-Assets öffentlich zu dem Problem geäußert. Einige, darunter Pancakeswap und Bitget Wallet, gaben an, kein PHP zu verwenden, während Kaia Chain erklärte, PHP sei nicht Teil seines Kern-Stacks. Coinbase und Bitgo teilten mit, dass sie keine Anfälligkeit für die Sicherheitslücken festgestellt hätten.

„Wir arbeiten zudem mit unseren Drittanbietern zusammen, um zusätzliche Sicherheit zu gewährleisten“, sagte Jeff Lunglhofer, Chief Security Officer bei Coinbase, auf X. Bislang wurden weder Angriffe auf Krypto-Unternehmen noch Verluste von Nutzergeldern gemeldet, doch die Angreifer werden zunehmend aktiver. “In den 10 Stunden vor der öffentlichen Bekanntgabe verzeichneten wir im gesamten @Cloudflare-Netzwerk Tausende von Versuchen, die Schwachstelle auszunutzen. Diese Zahl stieg in den 45 Minuten nach der Bekanntgabe auf Zehntausende, innerhalb von 2 Stunden auf Hunderttausende und liegt nun bei Millionen“, sagte Matthew Prince, CEO von Cloudflare, einem großen Cloud-Dienstleister.

Frühere Angriffsversuche und Probleme bei kleinen Anbietern

Selbst wenn ein Unternehmen die PHP-Sicherheitslücke am 21. Oktober behoben hat, bedeutet das nicht, dass Angreifer sie nicht bereits zuvor ausgenutzt hatten. So entdeckte Amazon beispielsweise einen „PHP2Shell“-Ausnutzungsversuch, der auf den 17. Oktober zurückging.

„Aber Sicherheitsverantwortliche sollten nicht davon ausgehen, dass das Datum der öffentlichen Bekanntgabe auch das früheste Datum der Ausnutzung ist“, warnte CJ Moses, Chief Information Security Officer bei Amazon Integrated Security. Kleinere Krypto-Asset-Dienste, darunter Händler, die Bitcoin und andere Krypto-Assets akzeptieren, stehen vor einem anderen Problem: Sie wenden Patches möglicherweise verspätet oder gar nicht an. Während große Unternehmen über eigene Sicherheitsteams verfügen, muss sich ein kleiner Shop, der Bitcoin ($BTC) über ein WordPress-Plugin akzeptiert, möglicherweise auf seine eigenen Ressourcen oder seinen Webhost verlassen, um PHP zu patchen. Der beliebte Open-Source-Bitcoin-Zahlungsabwickler BTCPay Server läuft zwar nicht selbst auf PHP, sein WooCommerce-Plugin für WordPress-Shops jedoch schon.

Die US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) hat Organisationen zudem geraten, PHP-basierte Systeme offline zu nehmen, bis sie diese patchen oder aktualisieren können.

Probleme bei eMudhra und Warnung von Lightning Labs

Unterdessen hat die Bitcoin- und Krypto-Branche mit einer weiteren Sicherheitslücke zu kämpfen, die mit eMudhra, einer indischen Zertifizierungsstelle für digitale Zertifikate, in Verbindung steht. Forscher stellten fest, dass die privaten Schlüssel für acht ihrer Zwischenzertifikate extrem schwach waren. Wenn ein Nutzer eine Website über HTTPS besucht, überprüft die Software deren digitales Zertifikat, um die Identität der Seite zu bestätigen. Mit einem dieser schwachen Schlüssel könnte ein Angreifer ein gefälschtes Zertifikat für die Website einer Börse erstellen. Browser haben begonnen, diese Zertifikate zu blockieren. Andere Software, wie beispielsweise Trading-Bots oder Apps mit eigenen Zertifikatslisten, tut dies jedoch möglicherweise nicht. Nutzer sollten ihre Software aktualisieren, um sicherzustellen, dass sie die betroffenen Zertifikate ablehnt.

Olaoluwa Osuntokun, Chief Technology Officer bei Lightning Labs, forderte die Nutzer der Bitcoin- und Lightning-Network-Software des Unternehmens auf, diese unverzüglich zu aktualisieren, nachdem die eMudhra-Sicherheitslücke entdeckt worden war.

Bleiben Sie wachsam

Zwar können Nutzer die Server der von ihnen besuchten Websites nicht patchen, doch sie können Vorsichtsmaßnahmen ergreifen. Sie sollten offizielle Websites aus ihren Lesezeichen nutzen und Meldungen über „dringende Updates“ ignorieren. Wie immer ist es besonders wichtig, genau zu überprüfen, wohin ihre Bitcoins oder andere Krypto-Vermögenswerte gesendet werden. Eine Hardware-Wallet zeigt zwar die Adresse an, an die Gelder gesendet werden, kann jedoch nicht erkennen, ob eine gehackte Website möglicherweise die falsche Adresse angezeigt hat. Nutzer sollten Empfangsadressen über eine zweite Quelle bestätigen, beispielsweise über die App der Börse oder eine gespeicherte Adresse.

„Ich werde von der Entwicklung zur Holzbearbeitung wechseln. Das ist sicherer. Ruft mich wieder an, wenn die Leute alles repariert haben“, scherzte Nicolas Dorier, der Gründer von BTCPay Server.