เหตุการณ์ด้านความปลอดภัยในวงการคริปโตทำให้ข้อมูลรับรองของนักพัฒนาเสี่ยงต่อการถูกโจมตี
เหตุการณ์ด้านความปลอดภัยทางเทคโนโลยีหลายครั้งทำให้ความเสี่ยงต่อผู้พัฒนาและบริการด้านคริปโตเพิ่มขึ้น เมื่อวันที่ 21 ตุลาคม PHP Foundation ได้เผยแพร่การอัปเดตความปลอดภัยเพื่อแก้ไขช่องโหว่ร้ายแรงด้านการเรียกใช้โค้ดจากระยะไกล 2 รายการ โดยแต่ละรายการได้รับคะแนน 9.2 ส่วน Node.js ได้แก้ไขช่องโหว่ 10 รายการ รวมถึงข้อบกพร่องความเสี่ยงสูงในโมดูลถอดรหัส Brotli และปัญหาความเสี่ยงปานกลางที่อาจทำให้ค่าสุ่มเกิดซ้ำในแอปพลิเคชันที่ใช้สแนปช็อตตอนเริ่มต้นหรือแอปพลิเคชันแบบไฟล์ปฏิบัติการเดี่ยว ข้อบกพร่องเกี่ยวกับค่าสุ่มนี้ไม่ได้ส่งผลต่อกระเป๋าคริปโตทุกใบ โดยบทความระบุว่าการสร้างคีย์ส่วนตัวส่วนใหญ่ใช้อินเทอร์เฟซการเข้ารหัสอื่น
Railway ซึ่งเป็นแพลตฟอร์มปรับใช้ระบบบนคลาวด์เปิดเผยว่า บุคคลภายนอกที่ไม่ได้รับอนุญาตอาจเข้าถึงระบบที่จัดเก็บตัวแปรสภาพแวดล้อมของลูกค้า ซึ่งอาจมีคีย์ API และข้อมูลรับรองอื่น ๆ Railway ระงับการบิลด์และการปรับใช้ระบบชั่วคราว พร้อมกระตุ้นให้ผู้ใช้เปลี่ยนข้อมูลลับที่จัดเก็บไว้ นักพัฒนาคริปโตที่ใช้ Railway กับบอตซื้อขายหรือบริการอื่น ๆ ควรถือว่าคีย์ API ของแพลตฟอร์มแลกเปลี่ยน ข้อมูลรับรองกระเป๋าเงิน และโทเค็น RPC อาจรั่วไหล แล้วเปลี่ยนรายการเหล่านี้โดยเร็ว
เหตุการณ์ด้านความปลอดภัยคริปโตเหล่านี้ไม่ได้บ่งชี้ว่าบล็อกเชนหรือกระเป๋าเงินถูกบุกรุกเป็นวงกว้าง แต่ชี้ให้เห็นความเสี่ยงจากซอฟต์แวร์และโครงสร้างพื้นฐานคลาวด์ที่ใช้ให้บริการด้านคริปโต
Neutral
เหตุการณ์เหล่านี้ก่อให้เกิดความเสี่ยงด้านการดำเนินงานอย่างมีนัยสำคัญต่อเหล่านักพัฒนาที่ได้รับผลกระทบ แต่บทความไม่ได้รายงานว่ามีกระเป๋าคริปโทเคอร์เรนซี บล็อกเชน หรือแพลตฟอร์มซื้อขายถูกเจาะระบบเป็นวงกว้างและได้รับการยืนยันแล้ว การเปิดเผยข้อมูลของ Railway เกี่ยวข้องกับผู้ใช้คริปโทโดยตรงมากที่สุด เพราะข้อมูลรับรอง API ของแพลตฟอร์มซื้อขาย ความลับของกระเป๋าเงิน หรือโทเคน RPC ที่รั่วไหล อาจทำให้เกิดการซื้อขายหรือธุรกรรมที่ไม่ได้รับอนุญาตได้ ผู้ใช้แพลตฟอร์มที่ได้รับผลกระทบควรเปลี่ยนข้อมูลรับรองและตรวจสอบกิจกรรมในบัญชี ซึ่งอาจทำให้บริการบางรายการหยุดชะงักในระยะสั้น
ช่องโหว่ของ PHP และ Node.js มีความสำคัญเนื่องจากเทคโนโลยีเหล่านี้ใช้ในเว็บแอปพลิเคชันและโครงสร้างพื้นฐาน แต่การโจมตีจะขึ้นอยู่กับการใช้เวอร์ชันที่มีช่องโหว่ และในบางกรณีก็ขึ้นอยู่กับการตั้งค่าเฉพาะของแอปพลิเคชันด้วย บทความยังเตือนไม่ให้มองปัญหาเรื่องการสร้างค่าสุ่มของ Node.js ว่าเป็นช่องโหว่ที่กระทบกระเป๋าเงินทุกประเภท
เหตุการณ์ในอดีตที่เกี่ยวข้องกับการขโมยข้อมูลรับรองของแพลตฟอร์มซื้อขายหรือความลับบนคลาวด์ มักนำไปสู่การตรวจสอบความปลอดภัยที่เข้มงวดขึ้น และอาจเกิดแรงขายเฉพาะจุดหรือบริการหยุดชะงักเมื่อยืนยันความเสียหายได้แล้ว สำหรับกรณีนี้ ขอบเขตของข้อมูลที่อาจรั่วไหลจาก Railway ยังไม่แน่ชัด และไม่มีรายงานการสูญเสียสินทรัพย์หรือการหยุดชะงักทั่วทั้งตลาด เทรดเดอร์อาจติดตามการเปิดเผยข้อมูลและโครงการที่ได้รับผลกระทบ แต่ข้อมูลเพียงเท่านี้ไม่น่าจะเปลี่ยนทิศทางโดยรวมของตลาดคริปโทได้ ในระยะยาว เหตุการณ์เหล่านี้ย้ำถึงความจำเป็นในการเปลี่ยนข้อมูลรับรอง จำกัดสิทธิ์การเข้าถึง API ให้เหลือเท่าที่จำเป็น และใช้แนวทางการนำระบบขึ้นใช้งานอย่างปลอดภัย แทนที่จะบ่งชี้ว่าคริปโทแอสเซ็ตกำลังเผชิญภัยคุกคามเชิงระบบ