一起影响数百万网站的严重安全威胁，正引发加密货币用户的高度关注，尤其是那些使用中小型交易平台和加密支付服务的群体。
10 月 21 日周三，PHP 开发者紧急发布了两项被命名为 PHP2Shell 的漏洞修复补丁。该漏洞的危害评级高达 9.2 分（满分 10 分）。
这一漏洞可能让黑客在无需密码的情况下访问受影响服务器，窃取敏感信息，甚至完全控制目标网站。
目前，相关风险处于高度警戒状态。Cloudflare 证实，已有攻击者尝试利用该漏洞攻击其客户。
此外，部分欧洲政府网站已被紧急关闭，以防止潜在威胁发生。
哪些加密平台面临最高风险？
PHP 是网站后端常用的数据处理软件。当用户登录账户或进行支付时，PHP 会协助服务器处理相关请求。
研究人员发现，攻击者可以操纵 PHP 的内存处理，从而获取本应受到保护的信息。
根据Wiz Research，一旦攻击成功，受害网站的密码、身份验证令牌、API 密钥等核心数字凭证可能会泄露，这些信息可被用来非法访问账户及连接的各类服务。
对于加密货币平台而言，潜在影响尤为严重。
本次分析指出，以下三类平台风险尤为突出：
- 加密支付网关：商户若采用基于 PHP 的支付集成系统，如其服务器未及时打补丁，可能面临高风险。币安支付（Binance Pay）、Crypto.com Pay、BitPay、CoinGate 及 CoinPayments 等平台均有 WooCommerce 集成相关记录。
- 中小型加密交易所：如果平台采用 PHP 搭建账户门户或支付系统，一旦被攻击者入侵，客户的敏感信息和凭证恐遭曝光。
- DeFi 和钱包类网站：存在漏洞的网页端接口可能被篡改，伪造钱包地址，或诱导用户授权恶意交易。
需要强调的是，上述仅为潜在风险评估。目前并无确凿证据显示这些支付服务商或主流交易平台因 PHP2Shell 漏洞遭到攻击。
各家商户集成方案本身并不等同于其基础设施存在相关漏洞。
对于大型交易所来说，若已完成基础设施的补丁更新或实现隔离部署，风险暴露相对可控。例如，Kraken 报告称，其核心后端系统自 2025 年已完成从 PHP 迁移至 Rust。
此外，区块链网络本身、智能合约及线下硬件钱包安全存储的私钥，并不会直接受到本次 PHP 漏洞的影响。
每一位加密用户当前该如何应对？
用户无法自行安装 PHP 的安全补丁，这项工作需由各网站运营方负责。但普通用户仍可通过以下措施，有效降低潜在损失风险。
- 及时关注所用交易所的官方安全公告，确认其网站基础架构已完成安全补丁更新。
- 启用高强度双重验证或使用通行密钥，同时推荐开启提现白名单功能（如有）。
- 转账数字货币前务必再次核实收款地址，尤其是在陌生支付网站时，请通过可信渠道二次确认地址信息。
- 警惕所谓“紧急安全通知”，黑客可能借势发送伪造登录页面或恶意钱包连接请求，诱导用户泄漏资产。
无需假设所有加密交易所均已被攻破，也不必立刻紧急全部提币。
当前最大隐患在于各平台是否已经加固暴露的 PHP 服务。在未正式确认安全补丁前，涉及加密资产支付的网站应格外慎用。
