Хакер может украсть данные пользователей с биржи или изменить адреса для пополнения счета.

Также существуют серьезные уязвимости в Node.js и в цифровых сертификатах, которые затрагивают десктопные кошельки.

Две критические уязвимости, обнаруженные в PHP, языке программирования, используемом более чем в двух третях интернета, могут привести к удаленным атакам при посещении веб-сайтов. Это также может повлиять на серверы биткоин-бирж и других криптовалютных бирж.

Помимо уязвимостей в PHP, в период с 17 по 21 октября была обнаружена уязвимость в Node.js, среде для запуска программ вне браузера, а также была скомпрометирована система цифровых сертификатов компании eMudhra, которая занимается подтверждением подлинности сайтов и сервисов в интернете.

РЕКЛАМА

Эти две последние проблемы могут повлиять на некоторые десктопные кошельки, хотя и по-разному. Скомпрометированные сертификаты могли облегчить атакующему выдачу себя за серверы, в то время как уязвимость в Node.js могла позволить выполнять код с использованием манипулированных данных.

Уязвимость в PHP угрожает серверам бирж.

По словам аналитика Cipherhoodlum, эти уязвимости могут подвергнуть риску сайты бирж и серверы компаний, разрабатывающих кошельки, поэтому основной ущерб приходится на эти серверы, а не на установленные приложения.

Две уязвимости, обнаруженные в PHP и идентифицированные как CVE-2026-109618 и CVE-2026-109619, позволяют получить контроль над сервером, компьютером, на котором размещен сайт, без использования пароля. Исправление было опубликовано 21 октября.

Получив такой контроль, злоумышленник может выполнять команды на сервере с правами администратора, например, устанавливать вредоносное программное обеспечение. Таким образом, хакер может украсть данные пользователей с биржи или изменить адреса для пополнения счета, отображаемые на сайте.

Представители компаний, работающих в этой сфере, сделали заявления:

Компания Binance объяснила, что ее команды безопасности приняли превентивные меры до выхода исправления и завершили устранение уязвимости.

В Coinbase, директор по безопасности Jeff Lunglhofer сообщил в X, что компания не обнаружила установленных экземпляров PHP.

Компания Trezor заявила в X, что уязвимость затрагивает любые серверы, использующие PHP, и что ее администраторы уже обновляют системы.

В BTCPay Server, программе для приема платежей в биткоинах, разработчик Kukks сообщил в X, что обновил свою версию WooCommerce, интернет-магазина, созданного на PHP, 21 октября.

Все четыре заявления касаются только PHP и не уточняют, использовали ли компании уязвимые версии Node.js или компоненты, которые все еще полагались на сертификаты eMudhra.

Компания Kraken, криптовалютная биржа, перешла с PHP на Rust, как указано в ее техническом блоге, но продолжает использовать сервисы, написанные на TypeScript, языке программирования, который работает на Node.js.

В этом модуле Node.js обнаружена уязвимость в декомпрессоре Brotli, формате сжатия данных. Эта уязвимость позволяет злоумышленнику удаленно выполнять собственные инструкции, хотя уведомление от Node.js не содержит подробностей о том, как это происходит.

РЕКЛАМА

Скомпрометированные сертификаты, которые могут обмануть биржи и хранилища

Цифровой сертификат – это документ, с помощью которого сервер подтверждает свою личность. Согласно отчету Mozilla, разработчика браузера Firefox, и компании eMudhra, организации, выдающей эти сертификаты, у eMudhra есть восемь сертификатов с настолько слабыми ключами подписи, что любой может их восстановить и подписывать поддельные сертификаты для любых сайтов, которые могут быть приняты приложениями, все еще доверяющими этим промежуточным органам.

Поддельный сертификат обманывает только приложение, если злоумышленник оказывается между приложением и сервером и выдает себя за сервер (атака "человек посередине"). По данным Ars Technica, обычно это могут сделать только злоумышленники с большими ресурсами, но для тех, кто контролирует локальную сеть, например, в кафе, это гораздо проще.

На данный момент нет сообщений о злоупотреблении этой уязвимостью.

Случаи Ledger и Trezor

Компании Ledger и Trezor производят аппаратные кошельки, и каждая из них также предлагает программу для компьютера, Ledger Wallet или Trezor Suite, для управления использованием этих кошельков.

РЕКЛАМА

Ledger Wallet построена на Electron, инструменте, который позволяет создавать настольные приложения с использованием веб-языков программирования. Для этого Electron использует Node.js.

Trezor Suite также построена на Electron, как указано в документации Trezor. Поскольку Electron включает в себя собственную версию Node.js, обе эти программы могли быть созданы с использованием версии, подверженной уязвимости Brotli, и их производители должны выпустить исправленную версию.

В уведомлении о безопасности Electron от 22 октября говорится, что сертификаты eMudhra блокируются в версиях 44.9.1, 43.8.1 и 42.11.16 как в браузере, так и в Node.js, и что единственное решение – обновить Electron.

В аппаратном кошельке закрытый ключ никогда не покидает устройство, поэтому злоумышленник не может подписывать транзакции. Однако обманутое приложение может отображать ложный адрес или сумму, и пользователь, который не подтвердит эти данные на устройстве, отправит средства не по тому адресу.

РЕКЛАМА

Нативные Bitcoin-кошельки

Нативные программные Bitcoin-кошельки менее подвержены этой уязвимости, поскольку они не используют Node.js. Sparrow – это приложение на Java, а настольная версия Nunchuk использует Qt и C++, поэтому Brotli не влияет на них.

BlueWallet, созданная с использованием React Native, фреймворка для мобильных устройств без Node.js, находится в той же ситуации. В этих трех кошельках риск, связанный с сертификатами, зависит от того, как они проверяют сертификаты своих серверов, что не указано в их документации.

Что произойдет, если настольный кошелек не будет обновлен?

Обновление Electron блокирует поддельные сертификаты eMudhra, но не устраняет ошибку Brotli.

Согласно списку версий Electron, ни одна из версий, выпущенных до 20 октября, не содержит это исправление, поэтому кошелек, обновленный с использованием этих сертификатов, может оставаться уязвимым для Brotli.

РЕКЛАМА

Атака начинается, когда пользователь открывает приложение в сети, контролируемой злоумышленником, например, в общедоступной сети Wi-Fi. Злоумышленник перехватывает связь между приложением и сервером компании и выдает себя за него, используя поддельный сертификат eMudhra.

Из этого можно сделать вывод, что ошибка Brotli и поддельные сертификаты eMudhra могут быть объединены. Злоумышленник, перехватывая трафик, отправляет сжатые данные с использованием Brotli, предназначенные для выполнения кода в приложении. Нет никаких доказательств того, что это произошло, и обновление до Electron 43.8.1 устраняет эту угрозу, поскольку блокирует эти сертификаты также в Node.js.

Ошибка в PHP влияет на серверы бирж, которые не были обновлены, а не на приложения-кошельки. Настольные кошельки с Electron подвержены другому риску, который устраняется каждой командой разработчиков.