פרצה באבטחה בתוסף WordPress: האקר קנה 30 תוספים, הסתתר 8 חודשים והשתמש בחוזים חכמים של Ethereum לעקיפת חסימות דומיינים

| blocktempo.com
אבטחת תוספים של WordPress נתונה לבחינה לאחר שלוחץ דווח שקנה תיק תוספים של WordPress והטמיע דלתות אחוריות בלמעלה מ-30 תוספים. התוקף הסתיר את המטען כעבור כ-8 חודשים, כאשר העדכון הזדוני הראשון פורסם ב-2025-08-08 (יומן השינויים ציין רק “compatibility update”). קוד הבקדור הזריק ל-wp-config.php לאחר חלון הפעלה מדורג בתחילת אפריל 2026 (הקולבק הראשון סביב 2026-04-05/06; כתיבת wp-config.php המלאה בוצעה עד 2026-04-06 11:06 UTC). לאחר מכן ביצע קישורי ספאם המכוונים ל-Googlebot וחשף נתיב REST API לא מוגן שעלול לאפשר הרצת קוד מרחוק. הדבר הבולט ביותר עבור הגנות האבטחה של תוספי WordPress הוא שתשתית הפיקוד והשליטה (C2) נמנעה מחסימה מסורתית. במקום להסתמך על דומיין קבוע, התוקף הטמיע את לוגיקת הפתרון של ה-C2 בחוזה חכם של Ethereum ושאיל את המצביעים המעודכנים דרך צמתים ציבוריים של RPC. זה יכול להוציא מרשימות חסימה של DNS ואתרי הסרה של דומיינים מכלל אפשרות עד שהחוזה עצמו ישתנה. בתגובה דיווחו כי WordPress.org סגרה את חשבונות הכותב של Essential Plugin שהושפעו וניטלה את ההרשאות מ-30+ תוספים ביום אחד (2026-04-07), כך אישר חוקר אבטחה אוסטין גינדר. למרות שלא הוכרזו פורצי-יום (zero-days), הבעיה המרכזית שמודגשת היא אמון בשרשרת האספקה: סביבת WordPress מאפשרת לקונים לקבל על עצמם הרשאות עדכון תוספים ללא בדיקה קפדנית או הודעת משתמש כאשר הבעלות משתנה.
Neutral
האירוע הזה הוא במהותו עימות בין מתקפת שרשרת אספקה בצד ה-Web ותשתיות זדוניות, ולא היה מעורב ישירות בזרמי מזומן של נכסי קריפטו או שינויי שכבת פרוטוקול (אין אזכור של כורה on-chain, כלכלת טוקן או תקלה משמעותית בבורסה). לכן ההשפעה הישירה על תחושות המסחר בשוק מוגבלת; סביר יותר שתתבטא כתנודה קצרה ב"פרמיית סיכון סייבר" בענפים ובשירותים הרלוונטיים (אקוסיסטם של אתרים, אחסון, ספקי אבטחה). בטווח הקצר: אם סוחרים ישוו זאת לאירועים היסטוריים של "הרעלת שרשרת אספקה/דלת אחורית בתוספים" (למשל ניצול עדכוני תוכנה), זה בדרך כלל יפחית את האמון באתרי Web3, בשירותי נתונים או בתנועה שמונעת שיווק, ועלול להוביל לתשומת לב מתונה לנרטיבים בנושא אבטחה, אך לא ישפיע באופן שיטתי על המגמות המאקרו של BTC/ETH. בטווח הארוך: הדו"ח מדגיש את הרעיון של שימוש בחוזי חוכמה של Ethereum לפירסינג דינמי של C2, דבר שעשוי לדחוף את קהילת האבטחה ואת גורמי ציות/מפעילי תשתיות לשים לב יותר למודל האיום של "דומיינים של פקודות שניתן לעדכן על השרשרת". ההשפעה הארוכת טווח על שוק הקריפטו נוטה להיות נטרלית יותר: היא מגבירה את הדיון על אבטחה ורגולציה אך לא משנה את היסודות של היצע וביקוש לנכסים מרכזיים. מסקנה: על המחיר ההשפעה סביר שתהיה שולית, נושאית ובין-רגשית, ולא זרז חד משמעי של עלייה או ירידה.