WordPress плагин қауіпсіздігінің бұзылуы: хакер 30 плагин сатып алды, 8 ай жасырынды және домен блоктарын айналып өту үшін Ethereum смарт-келісімдерін қолданды
WordPress плагиндерінің қауіпсіздігі WordPress плагиндер портфелін сатып алғаны және 30-тан астам плагинге бекдорлар енгізгені туралы хакер туралы хабарламадан кейін назарда тұр. Шабуылдаушы пайдалы жүктемені шамамен 8 ай бойы жасырып келген; алғашқы зиянды жаңарту 2025-08-08 жарияланған (changelog-та тек «compatibility update» көрсетілген).
Бекдор коды 2026 жылдың сәуір айының басында кезеңдік іске қосу терезесінен кейін wp-config.php файлына енгізілді (алғашқы callback шамамен 2026-04-05/06; wp-config.php толық жазбалары 2026-04-06 11:06 UTC). Одан кейін Googlebot-қа бағытталған спам сілтемелер жіберіп, қашықтан код орындауға әкелуі мүмкін қорғалмаған REST API жолын ашты.
WordPress плагиндерін қорғауда айрықша маңызға ие болғаны — командалық және басқару (C2) инфрақұрылымы дәстүрлі блоктаулардан аулақ болды. Тұрақты доменге сенудің орнына шабуылдаушы C2 шешу логикасын Ethereum смарт-келісімшартына енгізіп, жаңартылған көрсеткіштерді қоғамдық RPC түйіндері арқылы сұрап отырды. Бұл DNS қара тізімдері мен домендерді жауып тастау әрекеттерін келісімшарт өзіне өзгеріс енгізгенге дейін тиімсіз ете алады.
Осыған жауап ретінде WordPress.org зардап шеккен Essential Plugin автор есептік жазбаларын жауып, 30-дан астам плагинді бір күнде өшіргені хабарланды (2026-04-07), оны қауіпсіздік зерттеушісі Остин Гиндер растады.
Zero-day әлсіздіктер туралы талаптанбағанымен, басты көтерілен мәселе — жеткізу тізбесіне сенім: WordPress экожүйесі сатып алушыларға меншік өзгерген кезде плагиндерді жаңарту рұқсаттарын қатты тексеріссіз немесе пайдаланушыларға хабарлама жіберместен қабылдауға мүмкіндік береді.
Neutral
Оқиғаның мәні — веб-таражы тізбегіне бағытталған шабуыл мен зиянды инфрақұрылым арасындағы қақтығыс; бұл оқиға криптоактивтердің ақша ағындарына немесе протокол деңгейіндегі өзгерістерге тікелей қатысты емес (он‑чейн тау‑көлік, токен экономикасы немесе биржалардың ірі бұзылыстары туралы айтылмаған). Сондықтан нарықтық сезімге тікелей әсері шектеулі; ол сәйкес салалар мен қызметтерде (веб‑экожүйе, хостинг, қауіпсіздік провайдерлері) қысқа мерзімді «киберқауіп премиясының» ауытқуы ретінде көрінуі мүмкін.
Қысқа мерзімді: трейдерлер бұл оқиғаны тарихи «таразым тізбегін улау/плагиндердегі бэкдорлар» оқиғаларымен (мысалы, бағдарламалық қамтамасыз етуді жаңарту кезінде зор пайдалану) салыстырса, әдетте Web3 қатысты сайттарға, дерек қызметтеріне немесе трафик пен маркетингке тәуелді арналдарға сенім төмендейді; қауіпсіздік тақырыптарына ықшам қызығушылық туындауы мүмкін, бірақ BTC/ETH‑тің макро үрдісіне жүйелі түрде әсер ету ықтималдығы төмен.
Ұзақ мерзімді: репортаж Ethereum ақылды келісімшарттары арқылы C2‑ді динамикалық талдау идеясын атап өтеді, бұл қауіпсіздік қауымдастығы мен сәйкестікті/инфрақұрылымды басқаратындарға «on‑chain жаңартылатын командалық домендер» қауіп моделі туралы көбірек назар аударуға түрткі болуы мүмкін. Крипто нарығына ұзақ мерзімді әсері бейтарапқа жуық: қауіпсіздік пен реттеу туралы талқылауды күшейтеді, бірақ негізгі активтердің ұсыныс‑сұраныс негіздерін өзгертпейді.
Қорытынды: бағаға әсері, ең ықтимал, маргиналды, тақырыптық және сезімге негізделген болады, бағытталған бычьи/аюлы катализатор емес.