Vulnerabilitatea PHP2Shell îți pune în pericol criptomonedele de pe exchange?

Pe 21 octombrie, câteva instituții europene și-au scos singure site-urile de pe internet, fără să fi fost atacate. De vină era PHP2Shell, numele dat de cercetători unei perechi de defecte din PHP, limbajul pe care se sprijină o mare parte din web. În câteva ore, aceeași întrebare circula prin grupurile românești de investitori: sunt în pericol și banii lăsați pe exchange?

Nu în mod direct. Vulnerabilitatea PHP2Shell lovește serverele web care rulează PHP, nu rețelele Bitcoin sau Ethereum și nici cheile private păstrate offline. Până la data actualizării, niciun exchange mare nu a raportat public o breșă legată de ea, iar protecția utilă ține de securitatea contului, nu de retragerea grăbită a criptomonedelor.

Ce este PHP2Shell și de ce au reacționat atât de dur autoritățile

PHP2Shell este numele dat unei perechi de vulnerabilități critice din PHP, CVE-2026-109618 și CVE-2026-109619, prin care un atacator poate rula cod pe un server fără să se autentifice. Echipa de securitate a proiectului PHP a dat fiecăreia scorul 9,2 din 10 pe scala CVSS v4.0, folosită pentru a măsura gravitatea defectelor informatice.

Gravitatea vine din răspândire. Potrivit statisticilor W3Techs, PHP apare la aproximativ 70% dintre site-urile al căror limbaj de server poate fi identificat, inclusiv la cele făcute pe WordPress sau WooCommerce. Specialiștii încadrează problema la execuția de cod la distanță, cunoscută după prescurtarea RCE. Cu alte cuvinte, cineva aflat oriunde în lume poate da comenzi pe serverul altcuiva.

Defectele nu sunt noi. Potrivit analizelor SentinelOne și Sansec, ele afectează aproape toate versiunile începând cu PHP 5.4, lansată în 2012. Noutatea ține de felul în care au fost descoperite. Cercetătorii de la Wiz și Calif au lucrat cu modele avansate de inteligență artificială, într-un audit finanțat de OpenAI. Aceeași tehnologie îi ajută însă și pe atacatori, iar un sondaj Semperis a găsit-o implicată în 84% dintre atacurile ransomware.

O scurgere de informații a grăbit corecturile

Detaliile au ajuns pe forumuri pe 20 octombrie, cu două zile înaintea dezvăluirii coordonate. Echipa PHP a publicat corecturile pe 21 octombrie, la 17:00, ora României, în versiunile 8.5.12, 8.4.27, 8.3.36 și 8.2.35. Ramurile 8.1 și mai vechi nu mai primesc versiuni oficiale. O numărătoare făcută de firma Mallory cu motorul de căutare Shodan găsea circa 2,24 milioane de servere PHP expuse direct pe internet, iar 59% dintre ele rulau versiuni pentru care nu urma nicio corectură oficială.

Un aviz comun al FBI și NSA cere actualizarea imediată și scoaterea offline a sistemelor care nu pot fi corectate pe loc. Același document avertizează că actualizarea nu scoate din sistem un atacator care a intrat deja. CERT-EU a emis avizul de securitate 2026-018, iar BSI din Germania a ridicat alerta la nivelul portocaliu. În România, Directoratul Național de Securitate Cibernetică (DNSC) a publicat pe 21 octombrie alerta „Vulnerabilități critice în PHP”, adresată organizațiilor cu aplicații PHP accesibile din internet.

Cum poate o breșă de server să ajungă la criptomonedele tale

PHP2Shell poate atinge criptomonedele doar pe ocolite, prin infrastructura web a firmelor care le păstrează sau le tranzacționează în numele tău. Bitcoin Core este scris în C++, iar clienții Ethereum cei mai folosiți sunt scriși în Go sau Rust, așa că rețelele în sine nu sunt expuse.

Distincția aceasta stă la baza analizei semnate de Mihai Popa, analist și jurnalist la Cryptology.ro, care urmărește constant atacurile asupra platformelor crypto. Concluzia lui e limpede: PHP2Shell lovește infrastructura din jurul banilor, nu banii înșiși, iar diferența dintre cele două decide dacă ai vreun motiv real de îngrijorare.

Un exchange modern seamănă mai mult cu un cartier decât cu un seif. Unele clădiri de la periferie, cum ar fi site-ul de prezentare sau panoul echipei de suport, pot rula PHP, deși din afară nu se poate ști exact ce tehnologie folosește fiecare componentă. Hot wallet-ul, conectat permanent la internet, procesează retragerile de zi cu zi. Cold wallet-ul păstrează offline majoritatea rezervelor, tocmai ca un server compromis să nu ajungă la ele.

Riscul nu e teoretic. Pe 24 septembrie 2026, Bitget a pierdut aproape 388 de milioane de dolari din mai multe hot wallet-uri, după ce un defect al unui produs de securitate livrat de o terță parte i-a permis atacatorului să obțină acreditări interne. Compania spune că portofelele offline au rămas neatinse. Registrul de atacuri al DefiLlama numără, până pe 20 octombrie, pierderi de 2,344 miliarde de dolari din 304 incidente de securitate în acest an.

Riscul realist pentru un utilizator din România

Pentru omul obișnuit, scenariul plauzibil este scurgerea de date, nu golirea contului. Să luăm o studentă din Timișoara care ține 1.500 de USDC pe un exchange și care a încărcat la înregistrare buletinul și un selfie. Un server de suport compromis i-ar putea expune datele personale și numărul de telefon. De aici pornesc un mesaj de phishing foarte credibil sau o tentativă de SIM swap, prin care operatorul de telefonie este convins să mute numărul pe o cartelă controlată de infractor. Mecanismul s-a văzut deja după scurgerea de date de la Trezor prin firma de livrări ShipMonk, când clienții au primit scrisori false.

Paradoxal, jucătorii mici sunt mai expuși. Un magazin românesc care acceptă plăți în criptomonede printr-un plugin WordPress are mai multe șanse să ruleze o versiune veche de PHP decât o platformă cu sute de ingineri. Odată compromis, serverul poate înlocui adresa de încasare afișată la finalizarea comenzii, iar clientul ajunge să plătească, fără să știe, direct atacatorului.

Are sens să retragi acum fondurile de pe exchange?

Retragerea tuturor criptomonedelor de pe exchange doar din cauza PHP2Shell nu are, deocamdată, o justificare concretă. Mutarea fondurilor reduce expunerea la o platformă anume, dar aduce riscuri noi, mai ales când se face în grabă.

Cine mută noaptea, de pe telefon, 2.000 de USDT într-un portofel instalat cu cinci minute înainte poate alege o rețea nepotrivită sau poate lipi o adresă otrăvită. Prin address poisoning, atacatorul trimite sume minuscule de pe adrese care seamănă cu cele folosite de obicei de victimă, în speranța că aceasta le va copia din istoric. Banii plecați așa nu se mai întorc. Transferul mai are și un preț, iar costul real al unei tranzacții crypto, cu tot cu comisioanele ascunse, iese adesea mai mare decât arată aplicația.

Autocustodia rămâne o soluție bună pentru sumele mari ținute pe termen lung, cu condiția să fie făcută pe îndelete. Diferențele practice sunt explicate în comparația dintre un portofel custodial și unul non-custodial. Într-un portofel non-custodial deții singur cheile, așa că responsabilitatea trece integral la tine. O frază de recuperare fotografiată cu un telefon sincronizat în cloud mută riscul de pe serverele exchange-ului pe cele ale furnizorului de cloud.

Retragerea devine justificată când platforma confirmă un incident care atinge activele clienților, când suspendă retragerile fără explicații sau când vezi în cont activitate pe care nu o recunoști. Regulamentul MiCA obligă furnizorii autorizați să țină activele clienților separat de cele proprii, iar regulamentul DORA, aplicabil din 17 ianuarie 2025, le cere să raporteze autorităților incidentele informatice majore.

Vânzarea în panică se plătește la declarația unică

Vânzarea criptomonedelor din frică după PHP2Shell nu e susținută de evoluția pieței, iar pentru un investitor din România vine cu un impozit de 16% pe câștig. Pe 24 octombrie, bitcoinul se tranzacționa în jurul a 81.700 de dolari, aproape nemișcat față de ziua anterioară, potrivit cotațiilor publicate de Cryptonews.

Legea 239/2025 a urcat de la 10% la 16% impozitul pe câștigurile din transferul monedelor virtuale, pentru veniturile obținute începând cu 1 ianuarie 2026. Cine a cumpărat în primăvară bitcoin de 30.000 de lei și îl vinde acum, speriat, cu 38.000 de lei înregistrează un câștig de 8.000 de lei și datorează un impozit de 1.280 de lei, de declarat până pe 25 mai 2027. Dacă după două săptămâni cumpără înapoi mai scump, a plătit, de fapt, o taxă pe frică.

Ce verifici în contul de exchange în zilele următoare

Cea mai bună protecție împotriva efectelor indirecte ale PHP2Shell ține de setările de securitate ale contului, nu de mutarea banilor. Câteva minute petrecute acolo cântăresc mai mult decât orice retragere făcută în grabă.

Autentificarea în doi pași prin SMS e prima care trebuie înlocuită, cu o aplicație de autentificare sau cu o cheie fizică, pentru că tocmai SMS-ul e veriga atacată prin SIM swap. Lista albă de adrese de retragere permite plecarea banilor doar spre destinații aprobate dinainte, iar codul anti-phishing, un cuvânt ales de tine care apare în e-mailurile autentice, te ajută să le recunoști pe cele false. Cheile API create cândva pentru boți de trading ar trebui șterse dacă nu mai sunt folosite.

Valul de mesaje false vine aproape sigur după orice breșă mediatizată. Un text de tipul „contul tău a fost afectat de vulnerabilitatea PHP, verifică-ți portofelul aici” este o tentativă de fraudă, iar nicio platformă serioasă nu îți cere fraza de recuperare.

Pașii aceștia sunt descriși pe larg în materialul original al redacției Cryptology.ro. Cryptology.ro este un site independent de știri și analize crypto în limba română, care urmărește piața și atacurile informatice din perspectiva cititorului român. Cine vrea să meargă mai departe are la îndemână și alte metode de protecție împotriva fraudelor crypto găsite pe Cryptology.ro, explicate pe cazuri reale, cum ar fi aprobările de tokenuri uitate sau mesajele false de suport.

Ce urmează după valul de actualizări PHP

Pagubele produse de vulnerabilități de acest tip ies la iveală cu întârziere, pentru că serverele compromise înainte de corectură pot păstra luni întregi un backdoor, adică o cale de acces ascunsă lăsată de atacator. Cloudflare a anunțat că, din dimineața zilei de 21 octombrie, regulile sale de firewall blochează implicit vectorii de atac cunoscuți. Filtrul ajută, dar nu ține locul actualizării.

Unele platforme crypto mai mici ar putea anunța, în săptămânile următoare, incidente legate de servere neactualizate. Atunci va conta sursa informației, adică anunțul oficial al platformei, nu o captură de ecran distribuită pe un grup de Telegram. Pentru deținătorii de criptomonede, PHP2Shell rămâne o problemă indirectă. Protecția vine dintr-un cont bine securizat, nu din vânzarea grăbită a ceea ce au strâns în ani.

Întrebări frecvente despre PHP2Shell și criptomonede

Sunt afectate portofelele MetaMask sau Trust Wallet de PHP2Shell?

Aplicațiile de portofel nu depind de serverele PHP ale altor firme, așa că nu sunt atinse direct. Riscul apare la site-urile pe care le conectezi la portofel. Interfața compromisă a unei aplicații descentralizate îți poate cere o semnătură care golește contul, motiv pentru care orice cerere de aprobare trebuie citită atent înainte de confirmare.

Cum aflu dacă exchange-ul pe care îl folosesc a fost afectat?

Urmărește pagina de status și conturile verificate ale platformei. Un mesaj privat care te anunță că fondurile tale sunt în pericol și îți oferă un link este aproape sigur o încercare de fraudă. Furnizorii autorizați prin MiCA au, în plus, obligația de a raporta autorităților incidentele majore, conform regulamentului DORA.

Ce versiuni de PHP sunt sigure după PHP2Shell?

Corecturile oficiale au apărut în versiunile 8.5.12, 8.4.27, 8.3.36 și 8.2.35. Pentru ramurile 7.4, 8.0 și 8.1 există doar corecturi minimale de cod sursă, pe care administratorul trebuie să le compileze singur. După actualizare, procesele PHP trebuie repornite, altfel vechea versiune continuă să ruleze în memorie.

Mai sunt sigure portofelele hardware?

PHP2Shell nu atinge portofelele hardware, care păstrează cheile offline. Riscul lor ține de lanțul de aprovizionare, după cum a arătat în octombrie cazul dispozitivelor Ledger vândute prin revânzătorul CryptoBilis, în care s-a găsit un implant hardware. Un astfel de portofel se cumpără doar de la producător sau de la distribuitorii listați oficial pe site-ul acestuia.

Pierd banii dacă exchange-ul este spart înainte să apuc să-i retrag?

Depinde de platformă. După atacul din septembrie, Bitget a anunțat că acoperă integral pierderile din fondul propriu de protecție a utilizatorilor, însă nimic nu garantează că așa se va întâmpla de fiecare dată. MiCA cere furnizorilor autorizați să țină activele clienților separat de ale firmei, ceea ce le protejează mai bine în caz de insolvență.

Unde raportez un mesaj fals care folosește numele PHP2Shell?

Mesajele de phishing pot fi semnalate Directoratului Național de Securitate Cibernetică, inclusiv la numărul 1911, dar și platformei a cărei identitate a fost folosită. Până atunci, nu deschide linkul și intră în cont doar scriind singur adresa în browser sau din aplicația oficială.

Pentru a fi la curent cu toate știrile, urmărește Financiarul.ro și pe Google News