Peretas mengeksploitasi dua celah PHP untuk mencuri Bitcoin senilai $2.000

Seorang peretas berhasil mencuri lebih dari 2.000 dolar dalam Bitcoin (BTC) dengan mengeksploitasi dua kerentanan kritis pada bahasa PHP, sebagai bagian dari tantangan daring yang diselenggarakan untuk menguji ketahanan server web. Serangan yang dilakukan dalam waktu kurang dari 19 jam ini mengingatkan kembali risiko yang terus ada terkait keamanan infrastruktur yang menampung dompet aset kripto, sementara pasar Bitcoin tetap stabil di kisaran kapitalisasi 600 miliar dolar. Latar Belakang Insiden ini terjadi dalam konteks di mana celah perangkat lunak terus menjadi ancaman utama bagi layanan daring yang mengelola aset digital. PHP, bahasa pemrograman yang digunakan oleh sekitar 75% situs web menurut estimasi W3Techs, telah diperbarui pada 21 Oktober 2026 untuk memperbaiki dua kerentanan kritis, yang dijuluki PHP2Shell. Celah ini, dengan skor 9,2 dari 10 pada skala tingkat keparahan CVSS, memungkinkan eksekusi kode jarak jauh (RCE) dan akses tidak sah ke file server. Tantangan "Steal My Bitcoin", yang diluncurkan oleh seorang pengguna dengan nama samaran cloudlandsdev di forum Hacker News, bertujuan untuk menilai tingkat bahaya sebenarnya dari kerentanan tersebut. Penyelenggara dengan sengaja memasang versi PHP yang belum diperbaiki (8.4.26) pada server yang menyimpan kunci privat Bitcoin, dengan hadiah awal 500 dolar yang kemudian naik menjadi lebih dari 2.000 dolar berkat kontribusi dari pihak luar. Inisiatif semacam ini, meskipun kontroversial, lazim di komunitas keamanan siber untuk menguji batas perlindungan yang ada. Pada saat serangan, Bitcoin diperdagangkan di sekitar 80.269 dolar, dengan kapitalisasi pasar 1,61 triliun dolar, menurut data CryptoScore Pro per 26 Oktober 2026. Meskipun harga relatif stabil, insiden ini terjadi di tengah meningkatnya kewaspadaan regulator dan investor terhadap risiko peretasan, terutama setelah berlakunya regulasi Uni Eropa MiCA pada tahun 2024. Fakta-Fakta Serangan dilakukan oleh peretas yang dikenal dengan nama samaran KillaBoi , yang berhasil mengambil 0,02511679 BTC (sekitar 2.021 dolar AS pada kurs hari itu) pada 25 Oktober 2026 pukul 15.47 UTC. Menurut informasi yang dipublikasikan oleh Cryptoast, pencurian dilakukan dengan mengeksploitasi celah PHP2Shell (dengan referensi CVE-2026-109618 dan CVE-2026-109619), yang memungkinkan pengambilalihan server target dari jarak jauh. Berikut poin-poin kunci dari operasi tersebut: Total waktu kompromi server adalah 19 jam, sejak celah ditemukan hingga transaksi pengeluaran dana. Server yang menjadi sasaran menjadi host dompet Bitcoin yang dapat diakses melalui antarmuka web, dengan kunci privat yang disimpan dalam teks biasa atau dalam berkas konfigurasi yang tidak aman. Tingkat biaya rata-rata jaringan Bitcoin pada saat insiden adalah 0,135 sat/vB, sehingga biaya transaksi untuk pemindahan dana tergolong sangat kecil, menurut data Cryptoast. Berbeda dengan yang diumumkan sebelumnya, kunci privat yang diperoleh KillaBoi ternyata tidak sesuai dengan alamat Bitcoin yang terkait dengan hadiah. Penyelenggara tantangan sebenarnya telah menempatkan kunci dari cabang lain dompetnya di server, lalu mentransfer sendiri dana kepada peretas setelah serangan divalidasi. KillaBoi telah mempublikasikan kode exploit-nya di GitHub, yang merinci metode dalam dua tahap: Tahap pertama berupa penguras memori server, dilanjutkan dengan pemanfaatan data sisa untuk mengidentifikasi alamat internal. Pelewatan ASLR ( Address Space Layout Randomization ), sebuah perlindungan yang membuat lokasi memori menjadi tidak dapat diprediksi, melalui pembuatan struktur data palsu. Menurut pengujiannya, serangan berhasil dalam 7 dari 10 kasus di lingkungan terkontrol, namun KillaBoi menegaskan bahwa exploit-nya spesifik untuk konfigurasi tantangan tersebut dan tidak menjamin efektivitasnya pada instalasi PHP lain. Beberapa peserta juga menyoroti bahwa server dikonfigurasi dengan keliru selama sebagian besar tantangan, sehingga menunda eksploitasi celah tersebut. Di luar kasus terisolasi ini, muncul kekhawatiran yang lebih luas. Perusahaan keamanan siber CYFIRMA telah mengidentifikasi kampanye pengintaian yang menargetkan 216 server yang berpotensi rentan terhadap PHP2Shell, terutama di sektor pemerintahan, perbankan, dan industri, menurut laporan yang dikutip oleh The Hacker News . Operasi tersebut, yang dilakukan dari 21 mesin yang telah dikompromikan, diduga dilakukan oleh peretas Korea Utara yang terkait dengan kelompok Lazarus, meskipun atribusi ini masih belum pasti. Selain itu, Palo Alto Networks melaporkan serangan terhadap sebuah administrasi Eropa, tetapi tidak dapat memastikan penggunaan celah PHP2Shell. Memahami Konsep Kunci Eksekusi Kode Jarak Jauh (RCE) Eksekusi kode jarak jauh ( Remote Code Execution atau RCE) adalah kerentanan yang memungkinkan penyerang menjalankan perintah arbitrer pada server atau sistem jarak jauh, tanpa memiliki akses fisik ke sistem tersebut. Dalam kasus ini, celah PHP2Shell memungkinkan KillaBoi menyuntikkan kode berbahaya melalui permintaan HTTP, sehingga mengambil alih kendali server. Misalnya, penyerang dapat memanfaatkan RCE untuk mengakses berkas sensitif, seperti kunci privat dompet kripto, atau untuk memasang perangkat lunak berbahaya. Kunci Privat dan Penandatanganan Transaksi Kunci privat adalah rangkaian karakter rahasia yang digunakan untuk membuktikan kepemilikan alamat Bitcoin dan mengotorisasi transaksi. Dalam insiden ini, peretas mengambil kunci privat yang tersimpan di server untuk menandatangani transaksi yang memindahkan dana ke dompet miliknya sendiri. Tanda tangan digital, yang dihasilkan dari kunci tersebut, adalah yang memvalidasi transaksi di blockchain. Jika kunci privat dikompromikan, dana yang terkait menjadi dapat diakses oleh siapa pun yang memilikinya, sehingga penting untuk menyimpannya secara aman (misalnya, di wallet hardware atau brankas digital). ASLR ( Address Space Layout Randomization ) ASLR adalah teknik keamanan informatika yang membuat lokasi data dalam memori…