תקריות אבטחה בתחום הקריפטו מסכנות את פרטי הגישה של מפתחים
שורה של תקריות אבטחה טכנולוגיות הגבירה את הסיכונים למפתחי קריפטו ולשירותים בתחום. ב־21 באוקטובר פרסמה PHP Foundation עדכוני אבטחה שתיקנו שתי חולשות קריטיות של הרצת קוד מרחוק, שכל אחת מהן קיבלה ציון 9.2. גם Node.js תיקנה 10 חולשות, ובהן פגם בסיכון גבוה במודול פירוק הדחיסה Brotli שלה ובעיה בסיכון בינוני שעלולה לגרום לחזרה על ערכים אקראיים ביישומים המשתמשים בצילומי מצב בעת ההפעלה או ביישומים עצמאיים הניתנים להרצה. חולשת הערכים האקראיים אינה משפיעה על כל ארנקי הקריפטו; לפי הכתבה, רוב יצירת המפתחות הפרטיים נעשית באמצעות ממשקים קריפטוגרפיים אחרים.
פלטפורמת פריסת הענן Railway חשפה שייתכן כי צד שלישי בלתי מורשה ניגש למערכות המאחסנות משתני סביבה של לקוחות, שעשויים להכיל מפתחות API ופרטי גישה אחרים. Railway השהתה בניות ופריסות וקראה למשתמשים להחליף סודות שמורים. מפתחי קריפטו המשתמשים ב־Railway להפעלת בוטים למסחר או שירותים אחרים צריכים להתייחס למפתחות API של בורסות, לפרטי הגישה לארנקים ולטוקני RPC כאל מידע שייתכן שנחשף, ולהחליפם בהקדם.
תקריות אבטחת הקריפטו הללו אינן מעידות על פגיעה נרחבת בבלוקצ'יינים או בארנקים, אך הן מדגישות את הסיכונים בתוכנה ובתשתיות הענן המשמשות להפעלת שירותי קריפטו.
Neutral
התקריות יוצרות סיכונים תפעוליים משמעותיים למפתחים שנפגעו, אך המאמר אינו מדווח על פגיעה מאומתת ונרחבת בארנקי קריפטו, בבלוקצ'יינים או בזירות מסחר. החשיפה של Railway רלוונטית ביותר באופן ישיר למשתמשי קריפטו: חשיפת פרטי גישה ל-API של בורסה, סודות של ארנק או אסימוני RPC עלולה לאפשר מסחר או ביצוע עסקאות ללא הרשאה. משתמשי הפלטפורמה שנפגעה צריכים להחליף את פרטי הגישה ולבדוק את פעילות החשבון, דבר שעלול לגרום לשיבושים קצרי טווח בשירותים מסוימים.
הפגמים ב-PHP וב-Node.js חשובים משום שטכנולוגיות אלה משמשות ביישומי אינטרנט ובתשתיות, אך ניצול שלהם תלוי בגרסאות פגיעות ובמקרים מסוימים גם בתצורות יישום ספציפיות. המאמר גם מזהיר שלא להתייחס לבעיה של ערכים אקראיים ב-Node.js כאל פגיעות אוניברסלית של ארנקים.
תקריות קודמות שבהן נגנבו פרטי גישה לבורסות או סודות ענן הובילו בדרך כלל לבדיקות אבטחה מוגברות ולמכירות מקומיות או לשיבושים בשירות לאחר שאושרו הפסדים. במקרה הזה, היקף החשיפה האפשרית ב-Railway עדיין אינו ברור, ולא דווח על אובדן נכסים או על שיבוש כלל-שוקי. סוחרים יכולים לעקוב אחר דיווחים ופרויקטים שנפגעו, אך המידע לבדו אינו צפוי לשנות את הכיוון הכללי של שוק הקריפטו. בטווח הארוך, האירועים מדגישים את הצורך להחליף פרטי גישה, להגביל הרשאות API למינימום הנדרש ולאמץ שיטות פריסה מאובטחות, ולא מעידים על איום מערכתי על נכסי קריפטו.