Hacker εκμεταλλεύτηκε δύο κενά ασφαλείας της PHP για να κλέψει 2.000 $ σε Bitcoin

Ένας χάκερ έκλεψε περισσότερα από 2.000 δολάρια σε Bitcoin (BTC) εκμεταλλευόμενος δύο κρίטיκα κενά ασφαλείας της γλώσσας PHP, στο πλαίσιο μιας διαδικτυακής πρόκλησης που οργανώθηκε για τη δοκιμή της ανθεκτικότητας των web servers. Η επίθεση, η οποία πραγματοποιήθηκε σε λιγότερο από 19 ώρες, υπενθυμίζει τους επίμενους κινδύνους που σχετίζονται με την ασφάλεια των υποδομών που φιλοξενούν κρυπτονομισματικά πορτοφόλια, ενώ η αγορά του Bitcoin παραμένει σταθερή γύρω από τα 600 δισεκατομμύρια δολάρια κεφαλαιοποίησης. Πλαίσιο Το περιστατικό έρχεται σε ένα πλαίσιο όπου τα λογισμικά κενά συνεχίζουν να αποτελούν σημαντική απειλή για τις διαδικτυακές υπηρεσίες που διαχειρίζονται ψηφιακά περιουσιακά στοιχεία. Η PHP, μια γλώσσα προγραμματισμού που χρησιμοποιείται από σχεδόν το 75% των ιστοσελίδων σύμφωνα με εκτιμήσεις της W3Techs, είχε ενημερωθεί στις 21 Οκτωβρίου 2026 για τη διόρθωση δύο κρίσιμων ευπαθειών, που ονομάστηκαν PHP2Shell. Αυτά τα κενά, με βαθμολογία 9,2 επί 10 στην κλίμακα σοβαρότητας CVSS, επιτρέπουν την απομακρυσμένη εκτέλεση κώδικα (RCE) και την μη εξουσιοδοτημένη πρόσβαση στα αρχεία του διακομιστή. Η πρόκληση "Steal My Bitcoin", η οποία ξεκίνησε από έναν χρήστη με το ψευδώνυμο cloudlandsdev στο φόρουμ Hacker News, είχε ως στόχο την αξιολόγηση της πραγματικής επικινδυνότητας αυτών των ευπαθειών. Ο οργανωτής είχε εγκαταστήσει σκόπιμα μια μη διορθωμένη έκδοση της PHP (8.4.26) σε έναν διακομιστή που φιλοξενούσε ένα ιδιωτικό κλειδί Bitcoin, προσφέροντας μια αρχική ανταμοιβή 500 δολαρίων, η οποία αυξήθηκε σε περισσότερα από 2.000 δολάρια χάρη σε εξωτερικές συνεισφορές. Αυτού του είδους οι πρωτοβουλίες, αν και αμφιλεγόμενες, είναι κοινές στην κοινότητα της κυβερνοασφάλειας για τη δοκιμή των ορίων των υπαρχόντων μέτρων προστασίας. Κατά τη στιγμή της επίθεσης, το Bitcoin διαπραγματευόταν γύρω στα 80.269 δολάρια, με κεφαλαιοποίηση της αγοράς 1,61 τρισεκατομμύρια δολάρια, σύμφωνα με τα δεδομένα του CryptoScore Pro στις 26 Οκτωβρίου 2026. Παρά τη σταθερότητα των τιμών, το περιστατικό συμβαίνει σε ένα περιβάλλον που χαρακτηρίζεται από αυξημένη επαγρύπνηση των ρυθμιστικών αρχών και των επενδυτών απέναντι στους κινδύνους hacking, ιδιαίτερα μετά την εφαρμογή του ευρωπαϊκού κανονισμού MiCA το 2024. Τα γεγονότα Η επίθεση πραγματοποιήθηκε από έναν χάκερ γνωστό με το ψευδώνυμο KillaBoi , ο οποίος κατάφερε να ιδιοκτηθεί 0,02511679 BTC (περίπου 2.021 δολάρια με την τρέχουσα ισοτιμία) στις 25 Οκτωβρίου 2026 στις 15:47 UTC. Σύμφωνα με πληροφορίες που δημοσίευσε το Cryptoast, η κλοπή πραγματοποιήθηκε εκμεταλλευόμενη τα κενά PHP2Shell (με κωδικούς CVE-2026-109618 και CVE-2026-109619), επιτρέποντας τον απομακρυσμένο έλεγχο του στόχου διακομιστή. Ακολουθούν τα βασικά στοιχεία της επιχείρησης: Ο συνολικός χρόνος παραβίασης του διακομιστή ήταν 19 ώρες, από την ανακάλυψη της ευπάθειας έως τη συναλλαγή εξόδου των κεφαλαίων. Ο στοχευμένος διακομιστής φιλοξενούσε ένα πορτοφόλι Bitcoin προσβάσιμο μέσω διεπαφής ιστού, του οποίου το ιδιωτικό κλειδί ήταν αποθηκευμένο σε απλό κείμενο ή σε ένα μη ασφαλές αρχείο ρυθμίσεων. Ο μέσος ρυθμός τελών του δικτύου Bitcoin κατά τη στιγμή του περιστατικού ήταν 0,135 sat/vB, δηλαδή ένα αμελητέο κόστος συναλλαγής για τη μεταφορά των κεφαλαίων, σύμφωνα με τα δεδομένα του Cryptoast. Σε αντίθεση με όσα ανακοινώθηκαν αρχικά, το ιδιωτικό κλειδί που ανακτούσε ο KillaBoi δεν αντιστοιχούσε στη διεύθυνση Bitcoin που σχετιζόταν με την ανταμοιβή. Ο οργανωτής της πρόκλησης είχε στην πραγματικότητα τοποθετήσει στον διακομιστή το κλειδί ενός άλλου κλάδου του πορτοφολιού του, πριν μεταφέρει ο ίδιος τα κεφάλαια στον χάκερ μετά την επικύρωση της επίθεσης. Ο KillaBoi δημοσίευσε τον κώδικα του exploit του στο GitHub, αναλύοντας μια μέθοδο δύο σταδίων: Μια πρώτη φάση εξάντλησης της μνήμης του διακομιστή, ακολουθούμενη από την εκμετάλλευση υπολειμματικών δεδομένων για τον εντοπισμό εσωτερικών διευθύνσεων. Παράκαμψη του ASLR ( Address Space Layout Randomization ), μιας προστασίας που στοχεύει στο να καθιστά τις τοποθεσίες μνήμης απρόβλεπτες, μέσω της κατασκευής ψευδών δομών δεδομένων. Σύμφωνα με τα τεστ του, η επίθεση λειτούργησε σε 7 από τις 10 περιπτώσεις σε ελεγχόμενο περιβάλλον, αλλά ο KillaBoi διευκρινίζει ότι το exploit του ήταν συγκεκριμένο για τη ρύθμιση της πρόκλησης και δεν εγγυάται την αποτελεσματικότητά του σε άλλες εγκαταστάσεις PHP. Επιπλέον, αρκετοί συμμετέχοντες υπογράμμισαν ότι ο διακομιστής ήταν κακώς ρυθμισμένος για μεγάλο μέρος της πρόκλησης, καθυστερώντας την εκμετάλλευση της ευπάθειας. Πέρα από αυτή την απομονωμένη περίπτωση, έχουν προκύψει ευρύτερα ανησυχίες. Η εταιρεία κυβερνοασφάλειας CYFIRMA εντόπισε μια καμπάνια αναγνώρισης που στοχεύει 216 διακομιστές πιθανώς ευάλωτους στο PHP2Shell, ιδιαίτερα στους κυβερνητικούς, τραπεζικούς και βιομηχανικούς τομείς, σύμφωνα με μια αναφορά που αναφέρει το The Hacker News . Οι επιχειρήσεις, οι οποίες διεξήχθησαν από 21 παραβιασμένες μηχανές, αποδίδονται σε Βορειοκορεάτες χάκερ κοντά στην ομάδα Lazarus, αν και η από attribution αυτή παραμένει αβέβαιη. Επιπλέον, η Palo Alto Networks ανέφερε μια επίθεση κατά μιας ευρωπαϊκής διοίκησης, χωρίς να μπορεί να επιβεβαιώσει τη χρήση των κενών PHP2Shell. Κατανόηση των βασικών εννοιών Αποσταλέα εκτέλεση κώδικα (RCE) Η αποσταλέα εκτέλεση κώδικα ( Remote Code Execution ή RCE) είναι μια ευπάθεια που επιτρέπει σε έναν επιτιθέμενο να εκτελέσει τυχαίες εντολές σε έναν απομακρυσμένο διακομιστή ή σύστημα, χωρίς να έχει φυσική πρόσβαση σε αυτόν. Στην παρούσα περίπτωση, τα κενά PHP2Shell επέτρεψαν στον KillaBoi να εισάγει κακόβουλο κώδικα μέσω αιτημάτων HTTP, αποκτώντας έτσι τον έλεγχο του διακομιστή. Για παράδειγμα, ένας επιτιθέμενος θα μπορούσε να εκμεταλλευτεί μια RCE για να αποκτήσει πρόσβαση σε ευαίσθητα αρχεία, όπως ιδιωτικά κλειδιά κρυπτονομισματικών πορτοφολιών, ή για να εγκαταστήσει κακόβουλο λογισμικό. Ιδιωτικό κλειδί και υπογραφή συναλλαγής Ένα ιδιωτικό κλειδί είναι μια μυστική συμβολοσειρά χαρακτήρων που επιτρέπει την απόδειξη της ιδιοκτησίας μιας διεύθυνσης Bitcoin και την εξουσιοδότηση συναλλαγών. Σε…