एक हैकर ने PHP की दो कमजोरियों का फायदा उठाकर 2,000 डॉलर का Bitcoin चुराया

एक हैकर ने PHP भाषा की दो गंभीर कमजोरियों का फायदा उठाकर 2,000 डॉलर से अधिक मूल्य का Bitcoin (BTC) चुरा लिया। यह हमला एक ऑनलाइन चुनौती के दौरान हुआ, जिसका उद्देश्य वेब सर्वरों की मजबूती की परीक्षा लेना था। 19 घंटे से कम समय में किए गए इस हमले से पता चलता है कि क्रिप्टो-एसेट वॉलेट होस्ट करने वाले बुनियादी ढांचे की सुरक्षा के जोखिम अब भी बने हुए हैं, जबकि Bitcoin बाजार लगभग 600 अरब डॉलर के बाजार पूंजीकरण के साथ स्थिर बना हुआ है। पृष्ठभूमि यह घटना ऐसे संदर्भ में हुई है जहां सॉफ़्टवेयर की कमजोरियां डिजिटल संपत्ति प्रबंधित करने वाली ऑनलाइन सेवाओं के लिए एक बड़ा खतरा बनी हुई हैं। W3Techs के अनुमानों के अनुसार, PHP भाषा लगभग 75% वेबसाइटों द्वारा उपयोग की जाती है। 21 अक्टूबर 2026 को PHP को अपडेट किया गया था ताकि PHP2Shell नाम की दो गंभीर कमजोरियों को ठीक किया जा सके। CVSS गंभीरता पैमाने पर 10 में से 9.2 अंक वाली इन कमजोरियों से रिमोट कोड एक्जीक्यूशन (RCE) और सर्वर फाइलों तक अनधिकृत पहुंच संभव थी। "Steal My Bitcoin" नाम की यह चुनौती Hacker News फोरम पर cloudlandsdev उपनाम वाले एक उपयोगकर्ता ने शुरू की थी। इसका उद्देश्य इन कमजोरियों के वास्तविक खतरे का आकलन करना था। आयोजक ने जानबूझकर एक Bitcoin निजी कुंजी रखने वाले सर्वर पर PHP का असुधारित संस्करण (8.4.26) स्थापित किया था। शुरुआती इनाम 500 डॉलर था, जो बाहरी योगदान से बढ़कर 2,000 डॉलर से अधिक हो गया। यह प्रकार की पहल, विवादास्पद होने के बावजूद, मौजूदा सुरक्षा उपायों की सीमाओं को परखने के लिए साइबर सुरक्षा समुदाय में आम है। हमले के समय Bitcoin का भाव लगभग 80,269 डॉलर था, और CryptoScore Pro के 26 अक्टूबर 2026 के आंकड़ों के अनुसार इसका बाजार पूंजीकरण 1.61 ट्रिलियन डॉलर था। भाव स्थिर होने के बावजूद, यह घटना ऐसे माहौल में हुई है जहां नियामक और निवेशक हैकिंग के जोखिमों को लेकर अधिक सतर्क हैं, विशेषकर 2024 में यूरोपीय MiCA विनियमन लागू होने के बाद। तथ्य यह हमला KillaBoi उपनाम से जाने जाने वाले एक हैकर द्वारा किया गया था, जिसने 25 अक्टूबर 2026 को 15:47 UTC पर 0.02511679 BTC (आज की दर से लगभग 2,021 डॉलर) चुराने में सफलता प्राप्त की। Cryptoast द्वारा प्रकाशित जानकारी के अनुसार, यह चोरी PHP2Shell खामियों (CVE-2026-109618 और CVE-2026-109619 के रूप में संदर्भित) का फायदा उठाकर की गई थी, जिससे लक्षित सर्वर का रिमोट कंट्रोल प्राप्त करना संभव हो गया। इस ऑपरेशन के मुख्य बिंदु इस प्रकार हैं: सर्वर के कॉम्प्रोमाइज होने का कुल समय 19 घंटे था, भेद्यता (vulnerability) की खोज से लेकर फंड के निकासी लेनदेन तक। लक्षित सर्वर पर एक बिटकॉइन वॉलेट होस्ट किया गया था जो वेब इंटरफेस के माध्यम से सुलभ था, जिसकी प्राइवेट की (private key) प्लेन टेक्स्ट में या किसी असुरक्षित कॉन्फ़िगरेशन फ़ाइल में संग्रहीत थी। Cryptoast के आंकड़ों के अनुसार, घटना के समय बिटकॉइन नेटवर्क की औसत शुल्क दर 0.135 sat/vB थी, जिससे फंड ट्रांसफर के लिए लेनदेन लागत नगण्य थी। शुरुआती घोषणाओं के विपरीत, KillaBoi द्वारा प्राप्त प्राइवेट की रिवॉर्ड से जुड़े बिटकॉइन एड्रेस से मेल नहीं खाती थी। चुनौती के आयोजक ने वास्तव में सर्वर पर अपने वॉलेट की एक अन्य शाखा की की (key) रखी थी, और हमले के सत्यापन के बाद स्वयं हैकर को फंड ट्रांसफर किया था। KillaBoi ने GitHub पर अपने एक्सप्लॉइट का कोड प्रकाशित किया, जिसमें दो चरणों वाली विधि का विवरण दिया गया है: पहला चरण सर्वर की मेमोरी को समाप्त (exhaustion) करना था, जिसके बाद आंतरिक एड्रेस की पहचान करने के लिए अवशिष्ट डेटा (residual data) का उपयोग किया गया। नकली डेटा स्ट्रक्चर बनाकर ASLR ( Address Space Layout Randomization ) को बायपास करना, जो मेमोरी लोकेशन को अप्रत्याशित बनाने वाला एक सुरक्षा उपाय है। उनके परीक्षणों के अनुसार, एक नियंत्रित वातावरण में यह हमला 10 में से 7 मामलों में सफल रहा, लेकिन KillaBoi ने स्पष्ट किया कि उनका एक्सप्लॉइट चुनौती के विशिष्ट कॉन्फ़िगरेशन के लिए था और अन्य PHP इंस्टॉलेशन पर इसकी प्रभावशीलता की गारंटी नहीं देता है। इसके अलावा, कई प्रतिभागियों ने रेखांकित किया कि चुनौती के एक बड़े हिस्से के दौरान सर्वर गलत तरीके से कॉन्फ़िगर किया गया था, जिससे खामी के शोषण में देरी हुई। इस एकल मामले से परे, व्यापक चिंताएं उभर कर आई हैं। साइबर सुरक्षा कंपनी CYFIRMA ने PHP2Shell के प्रति संभावित रूप से संवेदनशील 216 सर्वरों को लक्षित करने वाले एक टोही अभियान की पहचान की है, विशेष रूप से सरकारी, बैंकिंग और औद्योगिक क्षेत्रों में, जैसा कि The Hacker News द्वारा उद्धृत एक रिपोर्ट में बताया गया है। 21 समझौता किए गए (compromised) मशीनों से संचालित इन ऑपरेशनों का श्रेय Lazarus समूह से जुड़े उत्तर कोरियाई हैकर्स को दिया गया है, हालांकि यह आरोप अभी अनिश्चित है। इसके अलावा, Palo Alto Networks ने एक यूरोपीय प्रशासन के खिलाफ हमले की सूचना दी है, लेकिन PHP2Shell खामियों के उपयोग की पुष्टि नहीं कर सका है। मुख्य अवधारणाओं को समझना रिमोट कोड एक्जीक्यूशन (RCE) रिमोट कोड एक्जीक्यूशन ( Remote Code Execution या RCE) एक ऐसी भेद्यता (vulnerability) है जो हमलावर को भौतिक पहुंच के बिना किसी दूरस्थ सर्वर या सिस्टम पर मनमाने कमांड चलाने की अनुमति देती है। वर्तमान मामले में, PHP2Shell खामियों ने KillaBoi को HTTP अनुरोधों के माध्यम से दुर्भावनापूर्ण कोड इंजेक्ट करने की अनुमति दी, जिससे सर्वर का नियंत्रण प्राप्त हो गया। उदाहरण के लिए, एक हमलावर संवेदनशील फाइलों, जैसे क्रिप्टो वॉलेट की प्राइवेट कीज़ (private keys) तक पहुंचने या मैलवेयर इंस्टॉल करने के लिए RCE का फायदा उठा सकता है। प्राइवेट की और ट्रांजैक्शन सिग्नेचर प्राइवेट की (Private Key) अक्षरों की एक गुप्त श्रृंखला होती है जो बिटकॉइन पते के स्वामित्व को साबित करने और ट्रांजैक्शन को अधिकृत करने की अनुमति देती है। इस घटना में, हैकर ने फंड को अपने स्वयं के वॉलेट में स्थानांतरित करने वाले ट्रांजैक्शन पर हस्ताक्षर करने के लिए सर्वर पर संग्रहीत प्राइवेट की को रिकवर किया। इस की (key) से उत्पन्न डिजिटल सिग्नेचर ही वह चीज़ है जो ब्लॉकचेन पर ट्रांजैक्शन को मान्य करती है। यदि कोई प्राइवेट की समझौता (compromise) हो जाती है, तो उससे जुड़े फंड किसी भी व्यक्ति के लिए सुलभ हो जाते हैं जिसके पास वह की है, इसीलिए इसे सुरक्षित रूप से स्टोर करना महत्वपूर्ण है (उदाहरण के लिए, एक hardware wallet या डिजिटल वॉल्ट में)। ASLR ( Address Space Layout Randomization ) ASLR एक कंप्यूटर सुरक्षा तकनीक है जो मेमोरी में डेटा के स्थान को यादृच्छिक (रैंडम) बनाती है, जिससे सॉफ़्टवेयर कमज़ोरियों का फ़ायदा उठाने वाले हमले जटिल हो जाते हैं। PHP2Shell के मामले में, KillaBoi ने PHP प्रक्रिया द्वारा छोड़े गए अवशेष डेटा का उपयोग करके दुर्भावनापूर्ण डेटा संरचनाओं को पुनर्निर्मित किया और इस सुरक्षा को दरकिनार कर दिया। इस प्रकार का बायपास सुरक्षा उपायों और हमले की तकनीकों के बीच निरंतर…