PHP güvenlik açığı mücadelesi 19 saatte aşıldı, 0,025 BTC çalındı
Bir geliştiricinin “Bitcoin’imi Çal” yarışmasını başlatmasından yaklaşık 19,28 saat sonra, Bitcoin cüzdanının özel anahtarını barındıran ve kasıtlı olarak güncellenmeyen PHP 8.4.26 sunucusu saldırıya uğradı. KillaBoi olarak bilinen saldırgan, o sırada yaklaşık 2.021 dolar değerinde olan 0,02511679 BTC’yi ele geçirdi. Yarışma, kısa süre önce açıklanan bir PHP uzaktan kod yürütme açığının uygulamada istismar edilip edilemeyeceğini sınamayı amaçlıyordu. Sunucuda başlangıçta dışarıdan erişilebilen bir PHP çalıştırma sayfası yoktu; daha sonra böyle bir sayfa eklendi ve ihlal yaklaşık üç saat sonra gerçekleşti. PHP, 21 Ekim’de PHP 8.4.27’nin de aralarında bulunduğu acil yamalar yayımlamıştı. Olay, güvenlik açığı bulunan web sunucularına yamaların gecikmeden uygulanmasının önemini vurguluyor; ancak Bitcoin’in kendisinde bir kusur olduğuna işaret etmiyor.
Neutral
Bu olay Bitcoin'in protokolünü, arzını veya işlem süreçlerini doğrudan etkilemediğinden, piyasaya olası etkisinin nötr olması beklenir. Çalınan 0,02511679 BTC — o sırada yaklaşık 2.021 dolar değerindeydi — Bitcoin piyasasının büyüklüğüyle kıyaslandığında önemsizdir; fiyatları hareket ettirmesi veya piyasa istikrarını kayda değer ölçüde etkilemesi olası değildir. Bir yazılım açığı nedeniyle cüzdan anahtarının açığa çıkmasını içerdiği için yatırımcılar bu habere kısa süreliğine ilgi gösterebilir, ancak güvenlik açığı Bitcoin'de değil, güncellenmemiş bir PHP sunucusundaydı. Borsa veya cüzdanlarla ilgili geçmiş güvenlik olaylarında olduğu gibi, yaygın bir ihlal, ciddi kayıplar ya da büyük işlem platformlarında aksama olduğuna dair kanıt bulunması hâlinde piyasa üzerindeki daha geniş etkilerin görülme olasılığı artardı. Kısa vadede haber, operasyonel güvenlik ve yazılım yamalarının uygulanması konusunda tartışmalara yol açabilir. Uzun vadede ise anahtarların güvenli biçimde saklanması ve güncellemelerin zamanında yapılması gerektiğini pekiştirir; ancak açığın kripto altyapısıyla geniş ölçekte bağlantılı olduğunu gösteren yeni kanıtlar ortaya çıkmadıkça BTC'ye ilişkin yatırım tezini değiştirmez.