Violazione della sicurezza di plugin WordPress: l'hacker ha acquistato 30 plugin, si è nascosto per 8 mesi e ha usato smart contract Ethereum per bypassare i blocchi di dominio
La sicurezza dei plugin di WordPress è sotto esame dopo che un hacker ha acquistato un portfolio di plugin WordPress e ha impiantato backdoor in oltre 30 plugin. L'attaccante ha nascosto il payload per circa 8 mesi; il primo aggiornamento dannoso è stato pubblicato l'08-08-2025 (il changelog indicava solo “aggiornamento di compatibilità”).
Il codice della backdoor è stato iniettato in wp-config.php dopo una finestra di attivazione a tappe all'inizio di aprile 2026 (prima callback intorno al 05/06-04-2026; scritture complete di wp-config.php entro il 06-04-2026 alle 11:06 UTC). Ha quindi effettuato spam di link mirato a Googlebot ed ha esposto un percorso non protetto della REST API che potrebbe consentire l'esecuzione remota di codice.
Degno di nota per le difese della sicurezza dei plugin WordPress è che l'infrastruttura di comando e controllo (C2) ha evitato i blocchi tradizionali. Invece di affidarsi a un dominio fisso, l'attaccante ha integrato la logica di risoluzione del C2 in uno smart contract Ethereum e interrogava puntatori aggiornati tramite nodi RPC pubblici. Questo può rendere inefficaci le blacklist DNS e i sequestri di dominio finché non cambia lo smart contract stesso.
In risposta, WordPress.org avrebbe chiuso gli account autori interessati di Essential Plugin e disabilitato oltre 30 plugin in un solo giorno (07-04-2026), confermato dal ricercatore di sicurezza Austin Ginder.
Sebbene non siano state dichiarate vulnerabilità zero-day, la questione principale evidenziata è la fiducia nella supply chain: l'ecosistema WordPress permette agli acquirenti di assumere i permessi di aggiornamento dei plugin senza una forte revisione o senza notificare gli utenti quando cambia la proprietà.
Neutral
La sostanza di questo evento è un confronto tra un attacco alla supply chain sul web e un’infrastruttura malevola; non ha coinvolto direttamente flussi di cassa di asset crittografici né modifiche a livello di protocollo (non si menzionano mining on-chain, economia dei token o guasti significativi di exchange). Pertanto la spinta diretta sul sentiment di mercato è limitata; è più probabile che si manifesti come una fluttuazione di breve periodo del “premio per rischio informatico” in settori e servizi correlati (ecosistema web, hosting, fornitori di sicurezza).
Breve termine: se i trader lo paragonano a eventi storici di “avvelenamento della supply chain / backdoor nei plugin” (ad es. abusi di aggiornamenti software), normalmente riduce la fiducia in siti Web3 correlati, servizi di dati o canali con traffico/marketing, e può portare a un leggero aumento dell’attenzione sulle narrative di sicurezza, ma difficilmente influenzerà in modo sistemico il trend macro di BTC/ETH.
Lungo termine: il reportage evidenzia l’idea di risolvere dinamicamente C2 tramite smart contract su Ethereum, il che potrebbe indurre la comunità della sicurezza e gli operatori di conformità/infrastrutture a concentrarsi maggiormente sul modello di minaccia dei “domini di comando aggiornabili on-chain”. L’impatto a lungo termine sul mercato crypto è più neutro: aumenta il dibattito su sicurezza e regolamentazione, ma non modifica i fondamentali di domanda e offerta degli asset mainstream.
Conclusione: l’effetto sui prezzi sarà più probabilmente marginale, tematico e di sentiment, piuttosto che un catalizzatore direzionale rialzista o ribassista.