एक बड़ा सिक्योरिटी खतरा जो लाखों वेबसाइट्स को प्रभावित कर रहा है, उसने क्रिप्टोकरेन्सी यूज़र्स के लिए चिंता बढ़ा दी है, खासकर उन लोगों के लिए जो छोटे एक्सचेंज या क्रिप्टो पेमेंट सर्विस का इस्तेमाल करते हैं।
बुधवार, 21 अक्टूबर को PHP डेवलपर्स ने दो बड़ी कमजोरियों के लिए इमरजेंसी पैच रिलीज़ किए हैं, जिन्हें PHP2Shell नाम दिया गया है और जिनकी सेवरिटी 10 में से 9.2 रेट की गई है।
इन कमियों के ज़रिए हैकर्स बिना पासवर्ड के वल्नरेबल सर्वर्स में घुस सकते हैं, सेंसिटिव जानकारी चुरा सकते हैं या वेबसाइट का पूरा कंट्रोल भी ले सकते हैं।
यह वार्निंग बहुत जरूरी है। Cloudflare ने कन्फर्म किया है कि हैकर्स पहले से ही इन कमजोरियों का फायदा उठाने की कोशिश कर चुके हैं।
कुछ यूरोपियन गवर्नमेंट वेबसाइट्स को भी सुरक्षा के लिए कुछ समय के लिए बंद करना पड़ा।
किन क्रिप्टो प्लेटफॉर्म्स को सबसे ज्यादा रिस्क है?
PHP एक सॉफ़्टवेयर है जिसे वेबसाइट्स बैकग्राउंड में जानकारी प्रोसेस करने के लिए यूज़ करती हैं। जब कोई यूज़र अकाउंट में लॉग इन करता है या पेमेंट करता है, तब PHP सर्वर पर उस रिक्वेस्ट को हैंडल करने में मदद करता है।
रिसर्चर्स ने पाया कि हैकर्स PHP के मेमोरी हैंडलिंग तरीके में छेड़छाड़ करके साइट की प्रोटेक्टेड जानकारी तक पहुंच सकते हैं।
Wiz Research के मुताबिक, अगर यह अटैक सफल हो जाता है तो पासवर्ड्स, ऑथेंटिकेशन टोकन और API कीज़ जैसी डिजिटल क्रेडेंशियल्स लीक हो सकती हैं, जिनसे अकाउंट्स या कनेक्टेड सर्विसेज़ तक पहुंच मिल सकती है।
क्रिप्टोकरेन्सी प्लेटफॉर्म्स के लिए इसके नतीजे काफी गंभीर हो सकते हैं।
हमारे एनालिसिस में तीन कैटेगरीज़ को सबसे ज्यादा रिस्क वाली बताया गया है:
- क्रिप्टो पेमेंट गेटवे: PHP-बेस्ड पेमेंट इंटीग्रेशन यूज़ करने वाले मर्चेंट्स के लिए यह बेहद खतरनाक हो सकता है अगर उनके सर्वर अपडेट नहीं हैं। Binance Pay, Crypto.com Pay, BitPay, CoinGate, और CoinPayments के WooCommerce इंटीग्रेशन डाक्यूमेंटेड हैं।
- छोटे क्रिप्टो एक्सचेंज: जो PHP-बेस्ड अकाउंट पोर्टल या पेमेंट सिस्टम यूज़ कर रहे हैं, वे हैक होने पर कस्टमर जानकारी और सेंसिटिव क्रेडेंशियल्स लीक कर सकते हैं।
- DeFi और वॉलेट वेबसाइट्स: कमजोर वेब इंटरफेस के ज़रिए फ्रॉड वॉलेट एड्रेस दिखाया जा सकता है या यूजर्स को फेक ट्रांजैक्शन अप्रूव करने के लिए ट्रिक किया जा सकता है।
यह सिर्फ संभावित खतरे की बात है। अभी तक ऐसी कोई पक्की खबर नहीं है कि जिन पेमेंट प्रोवाइडर्स या बड़े एक्सचेंज का ज़िक्र ऊपर किया गया है, उनका PHP2Shell के ज़रिए कोई डेटा ब्रीच हुआ हो।
इन मर्चेंट इंटीग्रेशन का मतलब यह नहीं है कि उनकी खुद की इन्फ्रास्ट्रक्चर वल्नरेबल है।
बड़े एक्सचेंज जिनकी इन्फ्रास्ट्रक्चर ठीक से पैच्ड या आइसोलेटेड है, उन्हें कम रिस्क है। उदाहरण के लिए, Kraken ने रिपोर्ट किया है कि उसने 2025 में अपना कोर बैकएंड PHP से Rust में माइग्रेट कर लिया है।
ब्लॉकचे्न नेटवर्क्स, स्मार्ट कॉन्ट्रैक्ट्स और जो प्राइवेट कीज़ ऑफलाइन हार्डवेयर वॉलेट्स में सुरक्षित रखी गई हैं, वे इन PHP कमजोरियों से डायरेक्टली प्रभावित नहीं हैं।
हर क्रिप्टो यूजर को अभी क्या करना चाहिए?
यूजर्स खुद से PHP सिक्योरिटी फिक्स इंस्टॉल नहीं कर सकते। ये जिम्मेदारी वेबसाइट ऑपरेटर्स की है। हालांकि, कुछ सावधानियाँ हैं जो नुकसान को कम कर सकती हैं।
- अपने exchange की आधिकारिक सिक्योरिटी घोषणाएँ चेक करें। देखें कि उनकी वेबसाइट की इंफ्रास्ट्रक्चर में सिक्योरिटी पैच लगाया गया है या नहीं।
- स्ट्रॉन्ग टू-फैक्टर ऑथेंटिकेशन या पासकी इनऐबल करें। जहाँ भी संभव हो, withdrawal address allowlist का इस्तेमाल करें।
- पेमेंट एड्रेस को ध्यान से वेरीफाई करें। क्रिप्टोकरेन्सी ट्रांसफर करने से पहले, डेस्टिनेशन एड्रेस को किसी भरोसेमंद चैनल के जरिए जरूर कन्फर्म करें, खासकर तब जब आप अनजान पेमेंट वेबसाइट का यूज कर रहे हों।
- इमरजेंसी सिक्योरिटी मैसेजेस से सावधान रहें। हैकर्स इस तरह की खबरों का फायदा उठाकर फर्जी लॉगइन पेज या खतरनाक वॉलेट-कनेक्शन रिक्वेस्ट फैला सकते हैं।
हर क्रिप्टो exchange के साथ कम्प्रोमाइज हुआ है या आपको तुरंत फंड्स निकालने चाहिए, ऐसा मानने की जरूरत नहीं है।
इस वक्त सबसे जरूरी है यह देखना कि क्या प्लेटफॉम्स ने अपने ओपन PHP सर्विसेज को सिक्योर किया है। जब तक पैच लगना कन्फर्म न हो, उन वेबसाइट्स पर खास सावधानी बरतें जो क्रिप्टोकरेन्सी पेमेंट्स संभालती हैं।
