Haker złamał challenge i zgarnął BTC
W publicznym teście bezpieczeństwa PHP udało się przejąć serwer i zdobyć dostęp do portfela Bitcoin. Sprawa ujawniła poważną lukę.
Publiczny challenge zakończony atakiem
Publiczny eksperyment Steal My Bitcoin zakończył się skutecznym przełamaniem zabezpieczeń serwera. Haker znany jako KillaBoi wykorzystał dwie krytyczne luki w PHP i po nieco ponad 19 godzinach zdobył dostęp do serwera, na którym znajdowała się kluczowa dla zadania informacja związana z Bitcoinem.
Na moment przejęcia nagroda wynosiła 0,02511679 BTC, czyli około 2 021 dolarów. Pierwotnie organizator wystartował z pulą 500 dolarów, ale później dołożono kolejne środki.
Jak doszło do włamania
Celem całego testu było sprawdzenie, czy dwie podatności w PHP, oznaczone jako CVE-2026-109618 i CVE-2026-109619, faktycznie umożliwiają zdalne przejęcie kontroli nad serwerem. PHP to jeden z najpopularniejszych języków używanych do tworzenia stron i aplikacji internetowych, więc każda poważna luka w tym środowisku może mieć szerokie konsekwencje.
KillaBoi opisał później swój atak i opublikował kod demonstracyjny. Z jego opisu wynika, że:
- najpierw doprowadził serwer do wyczerpania pamięci,
- następnie wykorzystał dane pozostawione przez proces PHP,
- dzięki temu ominął ochronę ASLR, która utrudnia przewidywanie położenia pamięci,
- na końcu zbudował fałszywe struktury danych, by skłonić serwer do wykonania własnych poleceń.
Według tej demonstracji do przejęcia kontroli wystarczyło około 20 żądań HTTP. W środowisku testowym atak zadziałał 7 razy na 10 prób.
Ważny szczegół: klucz był niewłaściwy
Choć atak zakończył się sukcesem technicznym, nie wszystko poszło idealnie. Organizator zadania przechowywał na serwerze niewłaściwy klucz prywatny Bitcoin — nie był on powiązany z adresem, do którego miała prowadzić nagroda. Ostatecznie potwierdził jednak skuteczność włamania na podstawie logów i sam przekazał bitcoiny zwycięzcy.
To oznacza, że challenge potwierdził możliwość ataku, ale nie był klasycznym przypadkiem kradzieży środków z właściwego portfela ofiary.
Dlaczego to ważne dla świata krypto
Sprawa wywołała szerszą dyskusję nie tylko o bezpieczeństwie PHP, ale też o tym, jak szybko nowe podatności mogą być wykorzystywane w praktyce. W związku z tym eksperci przypomnieli o konieczności natychmiastowego aktualizowania systemów.
Za krytyczne uznano właśnie te dwie luki, a ich ocena powagi sięgnęła 9,2/10. Zalecane wersje z poprawkami to:
- PHP 8.2.35
- PHP 8.3.36
- PHP 8.4.27
- PHP 8.5.12
Nie tylko challenge, ale i realne ryzyko
Według pojawiających się analiz zagrożenie nie ogranicza się do eksperymentu. Wskazywano, że pod lupą znalazły się setki potencjalnie podatnych serwerów, także w sektorze rządowym, bankowym i przemysłowym. Pojawiły się również doniesienia o próbach rozpoznania infrastruktury, choć atrybucja tych działań nie jest jednoznaczna.
W praktyce ten przypadek pokazuje dwie rzeczy: po pierwsze, że nawet krótko wystawiony serwer może zostać szybko zaatakowany, a po drugie, że błędy w konfiguracji potrafią zaważyć na całym teście bezpieczeństwa.
Wniosek dla administratorów
Historia challenge'u jest dobrym przypomnieniem, że bezpieczeństwo serwera nie kończy się na samej instalacji oprogramowania. Liczy się też konfiguracja, aktualizacje i sposób przechowywania wrażliwych danych. W przypadku środowisk PHP i usług powiązanych z kryptowalutami zwłoka w łataniach może kosztować bardzo dużo.
