Hacker explota dos fallos de PHP para robar 2.000 $ en Bitcoin

Un hacker robó más de 2.000 dólares en Bitcoin (BTC) explotando dos vulnerabilidades críticas del lenguaje PHP, como parte de un desafío en línea organizado para probar la robustez de los servidores web. El ataque, llevado a cabo en menos de 19 horas, recuerda los riesgos persistentes relacionados con la seguridad de las infraestructuras que albergan carteras de criptoactivos, mientras que el mercado de Bitcoin se mantiene estable con una capitalización de alrededor de 600.000 millones de dólares. Contexto El incidente se produce en un contexto donde los fallos de software siguen representando una amenaza importante para los servicios en línea que gestionan activos digitales. PHP, un lenguaje de programación utilizado por cerca del 75% de los sitios web según estimaciones de W3Techs, había sido actualizado el 21 de octubre de 2026 para corregir dos vulnerabilidades críticas, denominadas PHP2Shell. Estos fallos, calificados con un 9,2 sobre 10 en la escala de gravedad CVSS, permiten la ejecución remota de código (RCE) y el acceso no autorizado a los archivos del servidor. El desafío "Steal My Bitcoin", lanzado por un usuario bajo el seudónimo cloudlandsdev en el foro Hacker News, tenía como objetivo evaluar la peligrosidad real de estas vulnerabilidades. El organizador había instalado deliberadamente una versión no corregida de PHP (8.4.26) en un servidor que albergaba una clave privada de Bitcoin, ofreciendo una recompensa inicial de 500 dólares, que aumentó a más de 2.000 dólares gracias a contribuciones externas. Este tipo de iniciativa, aunque controvertida, es común en la comunidad de ciberseguridad para probar los límites de las protecciones existentes. En el momento del ataque, el Bitcoin cotizaba alrededor de 80.269 dólares, con una capitalización bursátil de 1,61 billones de dólares, según los datos de CryptoScore Pro al 26 de octubre de 2026. A pesar de la estabilidad de los precios, el incidente ocurre en un entorno marcado por una mayor vigilancia de los reguladores y los inversores ante los riesgos de hackeo, especialmente tras la entrada en vigor del reglamento europeo MiCA en 2024. Los hechos El ataque fue llevado a cabo por un hacker conocido bajo el seudónimo KillaBoi , quien logró apoderarse de 0,02511679 BTC (aproximadamente 2.021 dólares al tipo de cambio actual) el 25 de octubre de 2026 a las 15:47 UTC. Según la información publicada por Cryptoast, el robo se realizó explotando las vulnerabilidades PHP2Shell (referenciadas como CVE-2026-109618 y CVE-2026-109619), lo que permitió tomar el control remoto del servidor objetivo. Estos son los elementos clave de la operación: El tiempo total de compromiso del servidor fue de 19 horas, desde el descubrimiento de la vulnerabilidad hasta la transacción de salida de los fondos. El servidor afectado albergaba una billetera Bitcoin accesible a través de una interfaz web, cuya clave privada estaba almacenada en texto plano o en un archivo de configuración no seguro. La tasa promedio de comisiones de la red Bitcoin en el momento del incidente era de 0,135 sat/vB, lo que representó un costo de transacción insignificante para la transferencia de los fondos, según los datos de Cryptoast. Contrario a lo anunciado inicialmente, la clave privada recuperada por KillaBoi no correspondía a la dirección de Bitcoin asociada a la recompensa. El organizador del desafío había colocado en realidad en el servidor la clave de otra rama de su billetera, antes de transferir él mismo los fondos al hacker tras la validación del ataque. KillaBoi publicó el código de su exploit en GitHub, detallando un método de dos etapas: Una primera fase de agotamiento de la memoria del servidor, seguida de la explotación de los datos residuales para identificar direcciones internas. La elusión del ASLR ( Address Space Layout Randomization ), una protección destinada a hacer que las ubicaciones de memoria sean impredecibles, mediante la construcción de estructuras de datos falsas. Según sus pruebas, el ataque funcionó en 7 de cada 10 casos en un entorno controlado, pero KillaBoi aclara que su exploit era específico para la configuración del desafío y no garantiza su eficacia en otras instalaciones de PHP. Además, varios participantes señalaron que el servidor estuvo mal configurado durante gran parte del desafío, lo que retrasó la explotación de la vulnerabilidad. Más allá de este caso aislado, han surgido preocupaciones más amplias. La empresa de ciberseguridad CYFIRMA ha identificado una campaña de reconocimiento dirigida a 216 servidores potencialmente vulnerables a PHP2Shell, especialmente en los sectores gubernamental, bancario e industrial, según un informe citado por The Hacker News . Las operaciones, llevadas a cabo desde 21 máquinas comprometidas, serían atribuidas a hackers norcoreanos cercanos al grupo Lazarus, aunque esta atribución sigue siendo incierta. Por otra parte, Palo Alto Networks ha informado de un ataque contra una administración europea, sin poder confirmar el uso de las vulnerabilidades de PHP2Shell. Comprender los conceptos clave Ejecución de código remoto (RCE) La ejecución de código remoto ( Remote Code Execution o RCE) es una vulnerabilidad que permite a un atacante ejecutar comandos arbitrarios en un servidor o sistema remoto, sin tener acceso físico al mismo. En el caso presente, las vulnerabilidades de PHP2Shell permitieron a KillaBoi inyectar código malicioso a través de solicitudes HTTP, tomando así el control del servidor. Por ejemplo, un atacante podría explotar una RCE para acceder a archivos sensibles, como claves privadas de carteras cripto, o para instalar software malicioso. Clave privada y firma de transacción Una clave privada es una cadena de caracteres secreta que permite demostrar la propiedad de una dirección de Bitcoin y autorizar transacciones. En este incidente, el hacker recuperó la clave privada almacenada en el servidor para firmar una transacción que transfería los fondos a su propia cartera. La firma digital,…