Hacker nutzt zwei PHP-Schwachstellen aus, um 2.000 $ in Bitcoin zu stehlen

Ein Hacker hat über 2.000 Dollar in Bitcoin (BTC) gestohlen, indem er zwei kritische Schwachstellen der Sprache PHP ausnutzte, im Rahmen einer Online-Challenge, die organisiert wurde, um die Robustheit von Webservern zu testen. Der Angriff, der in weniger als 19 Stunden durchgeführt wurde, erinnert an die anhaltenden Risiken im Zusammenhang mit der Sicherheit von Infrastrukturen, die Krypto-Wallets hosten, während der Bitcoin-Markt mit einer Marktkapitalisierung von rund 600 Milliarden Dollar stabil bleibt. Hintergrund Der Vorfall ereignete sich in einem Kontext, in dem Softwarelücken weiterhin eine große Bedrohung für Online-Dienste darstellen, die digitale Vermögenswerte verwalten. PHP, eine Programmiersprache, die laut Schätzungen von W3Techs von fast 75 % der Websites verwendet wird, war am 21. Oktober 2026 aktualisiert worden, um zwei kritische Schwachstellen namens PHP2Shell zu beheben. Diese Lücken, die auf der CVSS-Schweregradskala mit 9,2 von 10 bewertet wurden, ermöglichen eine Remote-Code-Ausführung (RCE) und einen unbefugten Zugriff auf Serverdateien. Die Challenge "Steal My Bitcoin", die von einem Internetnutzer unter dem Pseudonym cloudlandsdev im Hacker News-Forum gestartet wurde, zielte darauf ab, die tatsächliche Gefährlichkeit dieser Schwachstellen zu bewerten. Der Organisator hatte bewusst eine ungepatchte Version von PHP (8.4.26) auf einem Server installiert, der einen Bitcoin-Private-Key hostete, und bot eine anfängliche Belohnung von 500 Dollar an, die durch externe Beiträge auf über 2.000 Dollar anstieg. Diese Art von Initiative ist, obwohl kontrovers, in der Cybersicherheits-Community üblich, um die Grenzen bestehender Schutzmaßnahmen zu testen. Zum Zeitpunkt des Angriffs lag der Bitcoin bei etwa 80.269 Dollar, mit einer Marktkapitalisierung von 1,61 Billionen Dollar, laut Daten von CryptoScore Pro vom 26. Oktober 2026. Trotz der stabilen Kurse erfolgt der Vorfall in einem Umfeld, das von erhöhter Wachsamkeit der Regulierungsbehörden und Investoren gegenüber Hacking-Risiken geprägt ist, insbesondere nach dem Inkrafttreten der europäischen MiCA-Verordnung im Jahr 2024. Die Fakten Der Angriff wurde von einem Hacker unter dem Pseudonym KillaBoi durchgeführt, dem es gelang, am 25. Oktober 2026 um 15:47 Uhr UTC 0,02511679 BTC (entspricht etwa 2.021 Dollar zum aktuellen Kurs) zu entwenden. Laut Informationen von Cryptoast wurde der Diebstahl durch das Ausnutzen von PHP2Shell-Schwachstellen (referenziert als CVE-2026-109618 und CVE-2026-109619) ermöglicht, was eine Fernsteuerung des Zielservers erlaubte. Hier sind die wichtigsten Elemente der Operation: Die gesamte Zeit der Server-Kompromittierung betrug 19 Stunden, von der Entdeckung der Schwachstelle bis zur Transaktion zum Abzug der Gelder. Der angegriffene Server hostete ein Bitcoin-Wallet, das über eine Webschnittstelle zugänglich war und dessen privater Schlüssel im Klartext oder in einer unsicheren Konfigurationsdatei gespeichert war. Die durchschnittliche Gebührenrate des Bitcoin-Netzwerks zum Zeitpunkt des Vorfalls lag bei 0,135 sat/vB, was laut Daten von Cryptoast zu vernachlässigbaren Transaktionskosten für den Transfer der Gelder führte. Im Gegensatz zu den ursprünglichen Ankündigungen entsprach der von KillaBoi sichergestellte private Schlüssel nicht der Bitcoin-Adresse, die mit der Belohnung verknüpft war. Der Organisator der Challenge hatte tatsächlich den Schlüssel eines anderen Zweigs seines Wallets auf dem Server platziert, bevor er die Gelder nach Validierung des Angriffs selbst an den Hacker übermittelte. KillaBoi veröffentlichte den Code seines Exploits auf GitHub und detaillierte eine zweistufige Methode: Eine erste Phase der Erschöpfung des Serverspeichers, gefolgt von der Auswertung von Restdaten zur Identifizierung interner Adressen. Die Umgehung von ASLR ( Address Space Layout Randomization ), einem Schutzmechanismus, der Speicherorte unvorhersehbar machen soll, durch die Konstruktion gefälschter Datenstrukturen. Seinen Tests zufolge funktionierte der Angriff in einer kontrollierten Umgebung in 7 von 10 Fällen, aber KillaBoi stellt klar, dass sein Exploit spezifisch für die Konfiguration der Challenge war und keine Wirksamkeit auf anderen PHP-Installationen garantiert. Mehrere Teilnehmer wiesen zudem darauf hin, dass der Server während eines Großteils der Challenge falsch konfiguriert war, was die Ausnutzung der Schwachstelle verzögerte. Über diesen Einzelfall hinaus sind umfassendere Bedenken aufgekommen. Das Cybersicherheitsunternehmen CYFIRMA hat eine Aufklärungskampagne identifiziert, die auf 216 Server abzielt, die potenziell anfällig für PHP2Shell sind, insbesondere in den Regierungs-, Banken- und Industriesektoren, so einem von The Hacker News zitierten Bericht. Die Operationen, die von 21 kompromittierten Maschinen aus durchgeführt wurden, werden nordkoreanischen Hackern zugeschrieben, die dem Lazarus-Gruppe nahestehen, obwohl diese Zuordnung ungewiss bleibt. Darüber hinaus meldete Palo Alto Networks einen Angriff auf eine europäische Verwaltung, konnte jedoch die Nutzung der PHP2Shell-Schwachstellen nicht bestätigen. Die Schlüsselbegriffe verstehen Remote Code Execution (RCE) Remote Code Execution (RCE) ist eine Schwachstelle, die es einem Angreifer ermöglicht, beliebige Befehle auf einem entfernten Server oder System auszuführen, ohne physischen Zugriff darauf zu haben. Im vorliegenden Fall ermöglichten die PHP2Shell-Lücken KillaBoi , bösartigen Code über HTTP-Anfragen einzuschleusen und so die Kontrolle über den Server zu übernehmen. Beispielsweise könnte ein Angreifer eine RCE nutzen, um auf sensible Dateien zuzugreifen, wie etwa private Schlüssel von Krypto-Wallets, oder um Schadsoftware zu installieren. Privater Schlüssel und Transaktionssignatur Ein privater Schlüssel ist eine geheime Zeichenfolge, mit der das Eigentum an einer Bitcoin-Adresse nachgewiesen und Transaktionen autorisiert werden können. In diesem Vorfall hat der Hacker den auf dem Server gespeicherten privaten…