Binance-dan PHP2Shell-ə: AI dövründə Veb təhlükəsizliyinin müdafiə xətti yenidən tərtib edilməlidir

Hücumçular etibar zəncirini sındırır, Vitalik-in d/acc-i də texnologiyanın sürətləndirilmiş istiqamətini müdafiəyə yönəltməyə çalışır.

30 oktyabr səhəri, kripto bazarında tarixə düşəcək bir daha bir oğurluq hadisəsi baş verdi, bu dəfə Binance-ın növbəsi gəldi.

İlkin araşdırmalara görə, hücumçular bir DevOps mühəndisinin noutbukunu hack edərək, müəyyən bir xidmət konteynerinə daxil olub, icazəsiz pul çıxarma əməliyyatı göndəriblər. Binance rəsmi olaraq hadisənin təsirini 6.3 milyard dollar olaraq qiymətləndirir və hal-hazırda təxminən 3 milyard dollarla bağlı aktivləri dondurub.

Son bir ildə, başlıca mübadilə platformalarının təhlükəsizlik hadisələri o qədər sıxlaşıb ki, insanı çaşdırır:

Keçən il Bybit təxminən 1.46 milyard dollar aktivini itirdi, bu ilin sentyabrında Bitget isə təxminən 387.5 milyon dollar aktivini icazəsiz köçürdü, indi isə Binance da yeni bir fırtınaya qarışdı.

Son dövrlərdə baş verən təhlükəsizlik hadisələrini bir araya gətirsək, aydın bir tendensiya görərik: hücumçular artıq birbaşa kriptologiya və özəl açarları sındırmağa çalışmırlar, əksinə, etibar zəncirinin bütünlüklərinə yönəlirlər ------ işçi terminalları, üçüncü tərəf təhlükəsizlik məhsulları, proqram təminatı tədarük zənciri, xidmət konteynerləri və hətta ticarət icazə prosesləri, hər hansı bir mərhələdə çatlaq yaranarsa, bütün müdafiə xətti itirilə bilər.

AI-nin sürətli inkişafı da bu riski daha da artırır.

22 oktyabrda, Ethereum-un birgə təsisçisi Vitalik Buterin yeni bir qiymətləndirmə irəli sürdü: AI dövründə, kiber təhlükəsizliyin sonu müdafiə tərəfinə üstünlük verə bilər, lakin bu sona gedən keçid dövrü çox çətin olacaq.

I. Bybit-dən PHP2Shell-ə: hücumçular etibar zəncirini sındırır

Bu hadisələri bir daha nəzərdən keçirək.

Onların hücum yolları eyni deyil, amma bir ortaq cəhət var, yəni hücumçular sadəcə özəl açarları sındırmağa və ya blokçeyn protokollarını pozmağa çalışmırlar, əksinə, sistemdə əvvəlcədən etibar edilən bir mərhələni tapıblar.

• Bybit hadisəsində, hücumçular sosial mühəndislik üsulları ilə Safe-in bir inkişafçısının cihazına daxil olub, onun müvafiq giriş etibarnamələrini əldə edərək, Safe cüzdan infrastrukturundakı ön tərəf resurslarını ələ keçiriblər;
• Bitget hadisəsində, hücumçular üçüncü tərəf təhlükəsizlik məhsulunun zəifliyindən istifadə edərək, daxili yüksək icazə etibarnaməsini əldə ediblər, daha sonra saxta pul çıxarma əmri ilə mövcud risk idarəetmə mexanizmini aşmışlar;
• Son Binance hadisəsində, hücum yolu çox güman ki, bir DevOps mühəndisinin noutbukunun hack edilməsi ilə başlayıb;

Üç hadisə, müvafiq olaraq üçüncü tərəf cüzdan infrastrukturu, üçüncü tərəf təhlükəsizlik məhsulları və daxili inkişaf mühitini əhatə edir.

Bu da izah edir ki, niyə ənənəvi soyuq cüzdanlar və çox imza mexanizmləri bütün problemləri həll etmir, çünki hücumçuların həqiqətən istifadə etdiyi, son əməliyyatın icrasını təsir edən, lakin tam müstəqil şəkildə təsdiqlənməyən etibar mərhələləridir.

Bənzər etibar zənciri böhranı yalnız kripto mübadilələrində mövcud deyil.

Binance hücuma məruz qaldığı bir həftə əvvəl, Binance-in təsisçisi CZ xüsusi olaraq bir tweet atdı, insanlara gələcək günlərdə hər hansı bir veb saytına daxil olarkən diqqətli olmalarını xatırlatdı ------ o zaman PHP2Shell-in iki PHP əsas mühərrikinin epik təhlükəli zəifliyi (CVE-2026-109618 və CVE-2026-109619, CVSS v4.0 qiymətləndirməsi 9.2-yə qədər) bütün şəbəkədə qorxu yaratmışdı.

Dünyada təxminən 70% veb saytını dəstəkləyən açıq mənbə server dili olan PHP üzərində WordPress, Magento, Drupal kimi əsas platformalar qurulub.

Bu iki zəiflik, on ildən çoxdur ki, gizlənmiş olan yaddaş idarəetməsi və qlobal vəziyyətin sıfırlanması zəiflikləri, hücumçulara kimlik doğrulaması olmadan, yalnız bir xüsusi Veb sorğusu ilə, veb saytın öz tətbiq kodu işləmədən əvvəl uzaq kod icrası (RCE) həyata keçirməyə imkan verir, birbaşa serveri ələ keçirərək arxa qapı yerləşdirmək və ya istifadəçi etibarnamələrini oğurlamaq.

Kiber təhlükəsizlik agentlikləri Palo Alto Networks və Censys-in skanerləri göstərir ki, dünyada 2260 mindən 3670 minə qədər açıq internetdə olan instansiyalar risk altındadır.

Daha da dəhşətlisi, təhlükəsizlik agentlikləri tərəfindən açıqlanan məlumata görə, bu iki on ildən çoxdur ki, yatan, insan auditorları tərəfindən aşkar edilməsi çətin olan aşağı səviyyəli yaddaş vəziyyəti zəiflikləri, AI texnologiyası vasitəsilə aşkar edilib, başqa sözlə, AI gizli aşağı səviyyəli məntiq qüsurlarını istifadə edilə bilən hücum yükünə çevirmək üçün maneələri əhəmiyyətli dərəcədə azaldıb.

Daha əvvəl də AI dövründə kiber hücum üsullarının üç əsas keyfiyyət dəyişikliyini müzakirə etmişdik (uzatma oxuyun: "Hacker-lar AI-dan daha səmərəli istifadə etdikdə, Web3-ün 'sancaq və qalxan' silahlanma yarışı necə yüksəlir?"):

• Sıfır gün zəifliyinin (0-day) 'sənayeləşməsi': keçmişdə, PHP əsas mühərriki və ya sabit proqram təminatı səviyyəsində dərin yaddaş zəifliklərini tapmaq üçün ən yaxşı təhlükəsizlik mütəxəssisləri aylarla insan kodu auditi və bulanıq testlərlə (Fuzzing) məşğul olurdular, indi AI çox aşağı xərclə bütün dünyada açıq mənbə kod bazalarını 24/7 skan edə bilir, on ildən çox gizlənmiş köhnə səhvləri kütləvi şəkildə ölümcül silahlara çevirir;
• 'Paket vaxt pəncərəsi' (N-day) maksimum sıxılması: zəiflik məlumatları sızdıqda və ya düzəliş kodu təqdim edildikdə, zərərli hücumçular AI-dan istifadə edərək bir neçə dəqiqə ərzində düzəlişi geri çevirmək, avtomatik olaraq dəyişdirilmiş Exploit yaratmaq və bütün şəbəkədə avtomatlaşdırılmış skanerlər və inyeksiya həyata keçirmək mümkündür, ənənəvi əməliyyat komandalarının günlər və həftələr ərzində planlaşdırdığı yeniləmə cədvəli, millisekund səviyyəsində reaksiya verən AI hücum skriptləri qarşısında heç bir dəyəri yoxdur;
• Proqram təminatı tədarük zəniri və DevOps birinci dərəcəli sındırma nöqtəsi olur: müasir Web3 və maliyyə sistemləri boşluqda qurulmur, ön tərəf qarşılıqlı əlaqəsi, arxa konteyner, üçüncü tərəf NPM/PyPI asılı paketləri, mühəndislərin yerli inkişaf mühiti, son dərəcə böyük və zəif açıq mənbə tədarük zənirini təşkil edir;

Binance-in bu DevOps konteynerinin sızması, Bybit-in qarşılaşdığı ön tərəf tədarük zənirinin dəyişdirilməsi kimi, zəncir üzərindəki hücumların birbaşa pul qazanmağı asanlaşdırdığı üçün kripto sektoru "pandemiya səviyyəsində qlobal AI hacker hücum dalğası" ilə qarşılaşır.

Təbii ki, yuxarıda qeyd olunan bütün hücumlar AI tərəfindən birbaşa həyata keçirilməmişdir, lakin AI həm hücumçuların, həm də müdafiə tərəfinin qabiliyyətlərini artırır, və mövcud proqram mühəndisliyi sistemində bu artırma effekti əslində hücum və müdafiə tərəfləri arasında mövcud olan struktur asimmetriyanı daha da artırır.

II. Vitalik: Son, bəlkə də müdafiə üçün əlverişlidir, lakin 'keçid dövrü' son dərəcə çətin olacaq

AI-nin PHP2Shell kimi aşağı səviyyəli zəiflikləri aşkar etməsi ilə bağlı sənaye müzakirələrinə cavab olaraq, Vitalik Buterin 22 oktyabrda çox soyuq bir qiymətləndirmə verdi: kiber təhlükəsizliyin uzunmüddətli sonu müdafiə tərəfinə üstünlük verə bilər, lakin keçid dövrü çox çətin olacaq.

Niyə?

Çünki mövcud proqram mühəndisliyi paradigmasında, hücum və müdafiə tərəfləri arasında təbii asimetriya var. Bir böyük proqram sistemi, milyonlarla sətir tarix kodu, yüzlərlə xarici asılılıq və çox sayda mürəkkəb icazə və icra yollarını əhatə edə bilər.

Müdafiə tərəfi bütün əsas mərhələlərin kifayət qədər təhlükəsiz olmasını təmin etməlidir, lakin hücumçular yalnız bir hələ aşkar edilməmiş boşluğu tapmalıdır.

Vitalik xüsusilə vurğuladı ki, yalnız təhlükəsizlik tədqiqatçıları hacker-lardan əvvəl artıq yayımlanmış proqramlarda zəiflikləri aşkar etməyə çalışmaqla müdafiə üstünlüyü qura bilməzlər, çünki əgər hər iki tərəf daha güclü AI istifadə edirsə, o zaman əslində kim daha tez zəiflikləri tapmağı yarışır.

Həqiqətən dəyişməli olan, proqramın özünün qurulma üsuludur, məsələn, onun irəlilədiyi iki əsas istiqamət, riyazi sübut (Formal Verification) və etibarlı hesablama bazasının (Trusted Computing Base, TCB) minimallaşdırılmasıdır.

Birincisi, riyazi sübut, 'təcrübə ilə səhvləri düzəltmək' əvəzinə istifadə edilməlidir.

Ənənəvi proqram testləri yalnız "test edilmiş ssenarilərdə səhv aşkar edildiyini" sübut edə bilər, lakin "kodun tamamilə səhvsiz olduğunu" sübut edə bilmir, riyazi sübut isə sərt riyazi məntiqdən istifadə edərək, bir proqram kodunun bütün mümkün girişlər və vəziyyət dəyişiklikləri altında gözlənilən təhlükəsizlik standartlarına tam uyğun olduğunu, yaddaşın daşması, vəziyyətin sıfırlanmaması (məsələn, PHP2Shell) və ya məntiqin yenidən daxil olması kimi qüsurların olmadığını sübut edir.

Keçmişdə, riyazi sübutun qiyməti son dərəcə yüksək idi, riyazi sübut yazmaq üçün tələb olunan kod miqdarı tez-tez iş kodunun bir neçə qatıdır, yalnız aerokosmik və ya əsas kriptoqrafiya protokolları bunu edə bilirdi.

Amma AI dövründə, AI yalnız zəiflikləri tapmaqla qalmır, həm də riyazi sübutları yazmaqda super köməkçi ola bilər, buna görə Vitalik proqnoz edir ki, gələcəkdə "AI ilə dəstəklənən riyazi sübut" proqram inkişafının son forması olacaq ------ Signal kimi şifrəli rabitə protokolları, TLS, ZK-EVM və ya tətbiq qatındakı ağıllı müqavilələr, kod yayımlanmadan əvvəl AI tərəfindən avtomatik olaraq son dərəcə təhlükəsiz riyazi sübutlar yaradılacaq.

Bir kod riyazi olaraq "səhvsiz" sübut edildikdə, hücumçunun AI gücü nə qədər güclü olsa da, mövcud olmayan zəiflikləri tapmaq mümkün olmayacaq.

İkincisi, etibarlı hesablama bazasının (TCB) minimallaşdırılması, hücum sahəsini maksimum dərəcədə azaltmaq məqsədini güdür.

Etibarlı hesablama bazası (TCB) nədir? Sadə desək, bir sistemin təhlükəsizliyini təmin etmək üçün "xətasız olacağına şübhəsiz etibar edilməli" olan bütün proqram və avadanlıqların cəmini təşkil edir.

Binance-in 6.3 milyard dollar təhlükəsizlik hadisəsi və Bybit-in çox imza hücumu hadisəsini nəzərdən keçirək: niyə aşağı səviyyəli özəl açar alqoritmi pozulmadı, amma aktivlər itirildi? Çünki onların TCB-ləri çox böyükdür ------ böyük konteyner klasterləri, mürəkkəb əməliyyat icazələri, inkişafçının noutbuk əməliyyat sistemi, ön tərəf JavaScript kitabxanaları, hamısı "bir dəfə pozulsa, maliyyə itkisinə səbəb olacaq" etibar zəncirinə daxil edilmişdir.

TCB minimallaşdırmanın əsas ideyası, çıxarmaq və izolyasiya etməkdir: özəl açarların qorunması, imza təsdiqi və əsas icazələrin həyata keçirilməsi ilə bağlı olan funksiyaları daha kiçik, sərhədləri daha dəqiq olan, ciddi auditə tab gətirə bilən təhlükəsiz mühitdə toplamaq, digər mürəkkəb funksiyaları isə mümkün qədər məhdud icazə verilən kənar mühitdə işlətməkdir.

Hətta brauzer, plagin, ön xidmət və ya AI Agent hücuma məruz qalsa belə, istifadəçi aktivlərini sərbəst şəkildə idarə etmək imkanı əldə etməməlidir.

Bu baxımdan, imToken kimi qeyri-əmniyyətli cüzdanların dəyəri də burada yatır. Mərkəzləşdirilmiş bir mübadilə istifadə edərkən, istifadəçi aktivləri platforma hesabı, əmanət cüzdanı və daxili pul çıxarma sistemi vasitəsilə keçməlidir; lakin imToken istifadə edərək, istifadəçi özəl açarını özü saxlayır, zəncir üzərindəki aktivləri birbaşa idarə edir və əməliyyatları başlatır, mərkəzləşdirilmiş əmanət mərhələsini azaltmış olur.

Daha qısa bir etimad zənciri, daha az platforma səviyyəsində risk açığı deməkdir, həmçinin mübadilə pul çıxarmaları dayandırdıqda və ya platforma hesab balansını dondurduqda narahat olmağa ehtiyac yoxdur, əlbəttə ki, istifadəçi özəl açarın saxlanması və cihaz təhlükəsizliyi məsuliyyətini də öz üzərinə götürməlidir.

Üçüncü Bölmə: Texnoloji Sürətlənmədən Müdafiəçi Sürətlənməyə: Niyə D/ACC-yə ehtiyac var?

Formal təsdiq və TCB minimallaşdırılması "texniki cəhətdən necə daha təhlükəsiz" sualına cavab verirsə, Vitalik uzun müddət müdafiə etdiyi d/acc, daha makro bir sualı cavablandırmağa çalışır:

AI və digər qabaqcıl texnologiyalar dünyanı sürətlə dəyişdirərkən, texnologiya inkişafının prioritetlərini necə təşkil etməliyik?

D/acc, yəni Müdafiəçi Sürətlənmə, adətən "müdafiəçi sürətlənmə" olaraq adlandırılır, Vitalik 2023-cü ildə bu ideyanı ilk dəfə sistematik şəkildə irəli sürdü və 2025-ci ildə "d/acc: bir il sonra" adlı əsərində daha da izah etdi.

Bu, texnologiya irəliləyişinə qarşı çıxmır, sadəcə seçici sürətlənməni vurğulayır: cəmiyyətin müdafiə qabiliyyətini artıran, gücü yayaraq sistematik riskləri azaldan texnologiyaların inkişafını prioritetləşdirmək.

E/acc-nin vurğuladığı tam sürətlənmədən fərqli olaraq, d/acc texnologiyanın hücum qabiliyyətini artırıb artırmadığına, yoxsa müdafiə qabiliyyətini artırıb artırmadığına daha çox diqqət yetirir (uzun oxu "Web3 d/acc ilə toqquşduqda: Texnoloji sürətlənmə dövründə, Crypto nə edə bilər?").

D/acc perspektivində, bu müdafiə sistemi dörd ölçüdə dərin inşaatı əhatə edir:

• Şəbəkə müdafiəsi: Kriptoqrafiya, formal təsdiq, proqram izolyasiyası və zəiflik aşkarlanması vasitəsilə şəbəkə hücumlarının uğur nisbətini azaltmaq, rəqəmsal aktivləri və məlumatları qorumaq;
• Bioloji müdafiə: Patogen aşkarlanması, hava monitorinqi, vaksin inkişafı və ictimai sağlamlıq texnologiyaları vasitəsilə cəmiyyətin bioloji təhlükəsizlik risklərinə cavab vermə qabiliyyətini artırmaq;
• Fiziki müdafiə: Paylanmış enerji, dağıdıcı kommunikasiya şəbəkələri və infrastruktur dayanıqlığı inşası vasitəsilə real dünyada kritik obyektlərin hücuma məruz qalma zəifliyini azaltmaq;
• Məlumat müdafiəsi: Məlumatların məxfiliyinin qorunması, məlumat mənbələrinin təsdiqi və mərkəzləşdirilməmiş əməkdaşlıq mexanizmləri vasitəsilə yanlış məlumatlar, dərin saxtakarlıq və kütləvi məlumat manipulyasiyasına qarşı mübarizə aparmaq;

Bu sahələr geniş görünə bilər, lakin hamısı bir məqsəd ətrafında toplanır: texnologiyanın fərdlərin və təşkilatların qabiliyyətini artırdığı zaman, eyni zamanda onlara uyğun özünü qoruma qabiliyyəti qazandırmaq, daha güclü texnologiyanın yalnız resurs və nəzarətə sahib olan az sayda subyektin əlində cəmləşməsinin qarşısını almaq.

Eyni zamanda, bu PHP zəifliyi müzakirəsində, Vitalik d/acc çərçivəsində bir sərt iddiasını yenidən təsdiqlədi - qabaqcıl AI-nin asimmetrik təsiri ilə üzləşərkən, zəruri mərhələlərdə yüksək riskli hücumçu AI-nin nizamsız irəliləməsinə ehtiyatla yanaşmaq; eyni zamanda, bütün cəmiyyət 1%-dən çox olan GDP resurslarını sistematik şəkildə kibertəhlükəsizlik, bioloji təhlükəsizlik və fiziki dünya təhlükəsizliyinin gücləndirilməsinə yatırmalıdır.

Niyə bu qədər geniş sistematik sərmayəyə ehtiyac var?

Çünki texnologiya irəliləyişinin gətirdiyi gəlirlər tez bir zamanda bazar tərəfindən qiymətləndirilir və kommersiyalaşdırılır, lakin təhlükəsizlik infrastrukturlarının dəyəri tez-tez qiymətləndirilmir.

Şirkətlər daha güclü AI modelləri, daha sürətli hesablama gücü və daha effektiv proqram inkişaf alətləri üçün böyük məbləğlərdə sərmayə qoymağa hazırdır, lakin uzunmüddətli açıq mənbə proqramlarının saxlanması, formal təsdiq və təhlükəsizlik auditi üçün eyni ölçüdə dəstək verməyə hazır deyillər, əgər bu resurs qeyri-bərabərliyi düzəldilməsə, zəif açıq mənbə təməlində qurulmuş rəqəmsal binalar daha təhlükəli olacaq.

Nəticə

PHP2Shell-in dünya internet infrastruktur risklərini ortaya qoymasından, Bybit, Bitget və Binance-in ard-arda baş verən ciddi təhlükəsizlik hadisələrinə qədər, 2026-cı ilin kibertəhlükəsizlik vəziyyəti, hər kəsə real pul qiyməti ilə xatırladır:

AI dövründəki hücum və müdafiə yarışması, artıq yalnız kimin daha sürətli zəiflikləri aşkar edə biləcəyini deyil, bütün proqram ekosisteminin kifayət qədər etibarlı müdafiə sistemi qura biləcəyini də əhatə edir.

Təhlükəsizlik heç vaxt bir dəfəlik ola bilməz, lakin bu, mübarizənin qazanılmayacağı demək deyil.

Son onilliklərdə, kriptoqrafiya sübut etdi ki, bəzi müdafiə qabiliyyətləri yalnız müdafiəçilərin daha çox insan resursu sərf etməsi ilə deyil, eyni zamanda riyazi prinsiplərlə çox güclü təhlükəsizlik təminatı qura bilər.

AI və formal təsdiq, minimum etibarlı hesablama və digər texnologiyaların birləşməsi, bu ideyanı bütün proqram sistemlərinə daha da genişləndirmək imkanı yaradır.

Adi istifadəçilər üçün, bu təhlükəsizlik ideyası aktivlərin idarə olunması üsulunun seçilməsinə də tətbiq oluna bilər.

imToken kimi qeyri-əmniyyətli cüzdanları seçmək, əslində aktivlərin idarəetmə hüququnu öz əlinizdə saxlamaq, mərkəzləşdirilmiş platformaların əmanətinə və daxili əməliyyat sistemlərinə olan asılılığı azaltmaq deməkdir, əlbəttə ki, bu, istifadəçinin bərpa sözlərinin saxlanması, cihaz təhlükəsizliyi və hər bir əməliyyatın təsdiqlənməsi məsələlərinə daha çox diqqət yetirməsini tələb edir, amma ən azından, aktivlərin özünüz tərəfindən idarə olunması, artıq tamamilə mərkəzləşdirilmiş bir platformanın normal işləməsindən asılı deyil.

Bəlkə də bu, Vitalik-in şəbəkə təhlükəsizliyinin son məqsədinin müdafiə tərəfinə fayda verə biləcəyinin həqiqi mənasıdır: bir gün AI-nin heç bir zəiflik tapa bilməyəcəyini gözləmək deyil, lakin hər gün bir addım ataraq, bizim fəaliyyət göstərdiyimiz əsas sistemlərin, daha ağıllı hücumçularla üzləşsələr belə, daha kiçik etibarlı nüvələr, daha sərt icazə sərhədləri və daha təsdiqlənə bilən təhlükəsizlik mexanizmləri ilə etibarlı şəkildə işləməyə davam etməsini təmin etməkdir.

Texnologiya irəliləyişini sürətləndirmək dəyərli olsa da, texnologiya nəticələrinin və fərdi aktivlərin qorunması qabiliyyətinin də sürətləndirilməsi eyni dərəcədə vacibdir.