Am 20. Oktober kündigte das PHP-Projekt ein dringendes Sicherheitsupdate gegen zwei kritische Schwachstellen an, woraufhin Betreiber einen Tag später zahlreiche Internetangebote vorsorglich vom Netz nahmen. Betroffen waren unter anderem unterstützende Dienste der Wikimedia Foundation.

Obwohl inzwischen Updates verfügbar sind, wurden bereits Millionen Angriffsversuche gemeldet. Auch für Krypto-Nutzer ist die Lage relevant, weil verwundbare Server Angreifern Zugang zu Kundendaten, Zahlungsoberflächen und technischen Zugriffsschlüsseln verschaffen können.

Die als „PHP2Shell“ bezeichneten Lücken betreffen die PHP-Laufzeitumgebung, auf der viele Webanwendungen ausgeführt werden, und ermöglichen unter bestimmten Bedingungen die Ausführung fremden Codes ohne vorherige Anmeldung.

Für Krypto-Anbieter, die PHP selbst oder über Dienstleister einsetzen, kann daraus ein erhebliches Problem werden. Denn auch ein dezentrales Finanzsystem hat erstaunlich viele Berührungspunkte mit gewöhnlichen Webservern.

Was passiert ist und warum Websites abgeschaltet wurden

Die am 20. Oktober veröffentlichten Warnungen betrafen Schwachstellen, deren Aufarbeitung teilweise schon länger lief: Laut PHP Foundation gab es erste Hinweise auf eine der Lücken bereits 2024, bevor Forscher im August 2026 demonstrierten, wie sich darüber eigener Code auf einem Server ausführen lässt.

Eine Reparatur ließ dennoch auf sich warten, unter anderem, weil die notwendigen Änderungen bestehende Anwendungen beeinträchtigen konnten. Als das PHP-Team am 21. Oktober die korrigierten Versionen veröffentlichte, hatten verschiedene Betreiber bereits vorsorglich Angebote abgeschaltet oder nahmen sie zur Absicherung vom Netz.

Die niederländische Regierung nannte unter anderem DigiD und MijnOverheid, während Wikimedia Dienste wie Toolforge und Cloud VPS abschaltete.

Wie schnell Angreifer reagierten, zeigen die Angaben von Cloudflare-Chef Matthew Prince: Innerhalb von zwei Stunden nach der Veröffentlichung registrierte das Unternehmen Hunderttausende Angriffsversuche, später Millionen.

Warum die PHP-Lücken für Krypto relevant sind

Die Website ist echt, die Empfängeradresse gehört trotzdem einem Angreifer: Für Krypto-Nutzer kann exakt darin die Falle liegen, wenn eine manipulierte Oberfläche Zahlungen unbemerkt umleitet. Auch bei Token-Freigaben kann ein vermeintlich gewöhnlicher Klick weitreichende Folgen haben, sobald damit ein fremder Smart Contract Zugriff auf die eigenen Token erhält.

Besonders unbequem wird es bei Zugangsdaten, die einem Dienst anvertraut wurden, etwa API-Schlüsseln von Trading-Tools. Was Angreifer damit im Börsenkonto anstellen können, hängt von den eingeräumten Berechtigungen ab, wie auch Kraken erläutert.

Die eigentlich praktische Automatisierung verdient deshalb einen zweiten Blick: Darf der Bot nur handeln oder auch Geld auszahlen? Liegt sogar ein verwendbarer privater Wallet-Schlüssel auf dem kompromittierten Server, steht die Kontrolle über die zugehörigen Coins auf dem Spiel.

Für einen solchen Angriff muss niemand die Blockchain knacken, solange sich der Zugang zu ihr über eine Website oder einen Dienst manipulieren lässt. Die viel beschworene Sicherheit der Blockchain hilft am Ende wenig, wenn die Zahlung schon an die falsche Adresse geht.

🔑
Die aktuellen Sicherheitsmeldungen sind ein guter Anlass, bei der eigenen Börse genauer hinzusehen. Bitvavo verbindet niedrige Handelsgebühren mit Zwei-Faktor-Authentifizierung, freigegebenen Auszahlungsadressen und individuell begrenzbaren API-Zugriffen.

Für Neukunden gibt es aktuell noch einen zusätzlichen Anreiz: Jetzt Konto eröffnen und 20 € Willkommensbonus sichern.
Zu Bitvavo*

Was die Krypto-Branche dazu sagt

Binance-Mitgründer Changpeng Zhao, bekannt als CZ, mahnte auf X zu besonderer Vorsicht beim Besuch von Websites, weil manche Administratoren die Updates nicht rechtzeitig installieren würden.

PancakeSwap äußerte sich dagegen konkret zur eigenen Plattform: Die dezentrale Börse verwende in ihrem gesamten technischen Aufbau kein PHP und sei deshalb nicht betroffen. Ähnliches meldete auch MEXC:

Der Krypto-Kommentator Noodles bringt die Sorge mit seiner Aufforderung auf den Punkt:

„Holt euer Geld zurück in eure eigene Wallet.“

Dahinter steckt ein unbequemes Detail: Sobald Wallet-Schlüssel bei einem Krypto-Tool liegen, hängt die Sicherheit der Coins auch an dessen Servern. Die Blockchain kann dabei einwandfrei funktionieren, während Angreifer mit gestohlenen Schlüsseln gültige Transaktionen auslösen.

Was Krypto-Nutzer jetzt tun sollten

Während die Betreiber die PHP-Updates installieren müssen, können Nutzer vor allem dort ansetzen, wo sie Diensten Zugriff auf ihre Konten oder Wallets eingeräumt haben:

  • Sicherheitsmeldungen prüfen. Eine erreichbare Website allein belegt keine Absicherung. Solange ein Anbieter seine Betroffenheit prüft, können zusätzliche Einzahlungen und neue Wallet-Freigaben warten.
  • Bot-Zugänge kontrollieren. Nicht benötigte API-Schlüssel sollten gelöscht und Berechtigungen begrenzt werden. Reine Trading-Bots brauchen normalerweise keine Auszahlungsrechte, wie Kraken erläutert. Bei Hinweisen auf einen Schlüsselabfluss gilt: Zugang sperren und Kontoaktivität prüfen.
  • Empfänger und Signaturen prüfen. Auch eine Hardware-Wallet erkennt nicht, wem eine Adresse gehört. Empfängeradressen sollten deshalb mit einer unabhängig vertrauenswürdigen Quelle abgeglichen und unverständliche Signaturanfragen abgelehnt werden.
  • Verdächtige Token-Freigaben widerrufen. Bestehende Berechtigungen lassen sich über den Freigabeprüfer des jeweiligen Block-Explorers kontrollieren und widerrufen. Die Wallet lediglich von einer Anwendung zu trennen, entfernt diese Rechte nicht.
  • Bei gestohlenen Schlüsseln die Wallet wechseln. Sind privater Schlüssel oder Wiederherstellungsphrase offengelegt, reichen Freigabewiderrufe nicht aus. Verbliebene Guthaben gehören auf eine sicher erzeugte Wallet mit neuen Schlüsseln; die alte sollte nicht weiterverwendet werden.

Fazit: Ruhe bewahren, Zugriffsrechte prüfen

Mein Rat: keine hektischen Wallet-Umzüge, sondern in Ruhe prüfen, welche Dienste Zugriff auf Konten, Schlüssel oder Guthaben haben und was deren Betreiber zur Sicherheitslage melden.

Bislang ließ sich kein durch PHP2Shell verursachter Diebstahl von Krypto-Kundengeldern bestätigen. Das ist beruhigend, macht die Lücken aber nicht harmlos – gerade wer Trading-Bots oder andere Krypto-Tools nutzt, sollte die Warnung ernst nehmen. Panik hilft dabei wenig, ein genauer Blick auf die eingeräumten Rechte dagegen deutlich mehr.