Hacker sfrutta due vulnerabilità PHP per rubare 2.000 $ in Bitcoin

Un hacker ha sottratto più di 2.000 dollari in Bitcoin (BTC) sfruttando due vulnerabilità critiche del linguaggio PHP, nell'ambito di una sfida online organizzata per testare la robustezza dei server web. L'attacco, condotto in meno di 19 ore, ricorda i rischi persistenti legati alla sicurezza delle infrastrutture che ospitano portafogli di crypto-asset, mentre il mercato del Bitcoin rimane stabile con una capitalizzazione di circa 600 miliardi di dollari. Contesto L'incidente si inserisce in un contesto in cui le falle software continuano a rappresentare una minaccia maggiore per i servizi online che gestiscono asset digitali. PHP, un linguaggio di programmazione utilizzato da quasi il 75% dei siti web secondo le stime di W3Techs, era stato aggiornato il 21 ottobre 2026 per correggere due vulnerabilità critiche, denominate PHP2Shell. Queste falle, con un punteggio di 9,2 su 10 nella scala di gravità CVSS, consentono l'esecuzione di codice remoto (RCE) e l'accesso non autorizzato ai file del server. La sfida "Steal My Bitcoin", lanciata da un utente sotto lo pseudonimo cloudlandsdev sul forum Hacker News, mirava a valutare la pericolosità reale di queste vulnerabilità. L'organizzatore aveva deliberatamente installato una versione non corretta di PHP (8.4.26) su un server che ospitava una chiave privata Bitcoin, offrendo una ricompensa iniziale di 500 dollari, portata a oltre 2.000 dollari grazie a contributi esterni. Questo tipo di iniziativa, sebbene controversa, è comune nella comunità della cybersicurezza per testare i limiti delle protezioni esistenti. Al momento dell'attacco, il Bitcoin oscillava intorno agli 80.269 dollari, con una capitalizzazione di mercato di 1,61 trilioni di dollari, secondo i dati di CryptoScore Pro al 26 ottobre 2026. Nonostante la stabilità dei prezzi, l'incidente avviene in un ambiente caratterizzato da una maggiore vigilanza dei regolatori e degli investitori di fronte ai rischi di hacking, in particolare dopo l'entrata in vigore del regolamento europeo MiCA nel 2024. I fatti L'attacco è stato condotto da un hacker noto con lo pseudonimo KillaBoi , che è riuscito a sottrarre 0,02511679 BTC (circa 2.021 dollari al tasso attuale) il 25 ottobre 2026 alle 15:47 UTC. Secondo le informazioni pubblicate da Cryptoast, il furto è stato realizzato sfruttando le vulnerabilità PHP2Shell (referenziate come CVE-2026-109618 e CVE-2026-109619), che hanno permesso il controllo remoto del server bersaglio. Ecco gli elementi chiave dell'operazione: Il tempo totale di compromissione del server è stato di 19 ore, dalla scoperta della vulnerabilità fino alla transazione di uscita dei fondi. Il server mirato ospitava un portafoglio Bitcoin accessibile tramite un'interfaccia web, la cui chiave privata era memorizzata in chiaro o in un file di configurazione non sicuro. Il tasso medio delle commissioni della rete Bitcoin al momento dell'incidente era di 0,135 sat/vB, ovvero un costo di transazione trascurabile per il trasferimento dei fondi, secondo i dati di Cryptoast. Contrariamente a quanto annunciato inizialmente, la chiave privata recuperata da KillaBoi non corrispondeva all'indirizzo Bitcoin associato alla ricompensa. L'organizzatore della sfida aveva in realtà inserito sul server la chiave di un altro ramo del suo portafoglio, prima di trasferire lui stesso i fondi all'hacker dopo la convalida dell'attacco. KillaBoi ha pubblicato il codice del suo exploit su GitHub, dettagliando un metodo in due fasi: Una prima fase di esaurimento della memoria del server, seguita dallo sfruttamento dei dati residui per identificare indirizzi interni. Il superamento dell'ASLR ( Address Space Layout Randomization ), una protezione volta a rendere imprevedibili le posizioni di memoria, attraverso la costruzione di false strutture dati. Secondo i suoi test, l'attacco ha funzionato in 7 casi su 10 in un ambiente controllato, ma KillaBoi precisa che il suo exploit era specifico per la configurazione della sfida e non garantisce l'efficacia su altre installazioni PHP. Diversi partecipanti hanno inoltre sottolineato che il server era stato configurato male per gran parte della sfida, ritardando lo sfruttamento della falla. Oltre a questo caso isolato, sono emerse preoccupazioni più ampie. La società di cybersicurezza CYFIRMA ha identificato una campagna di ricognizione che ha preso di mira 216 server potenzialmente vulnerabili a PHP2Shell, in particolare nei settori governativo, bancario e industriale, secondo un rapporto citato da The Hacker News . Le operazioni, condotte da 21 macchine compromesse, sarebbero attribuite a hacker nordcoreani vicini al gruppo Lazarus, sebbene tale attribuzione rimanga incerta. Inoltre, Palo Alto Networks ha segnalato un attacco contro un'amministrazione europea, senza poter confermare l'utilizzo delle vulnerabilità PHP2Shell. Comprendere i concetti chiave Esecuzione di codice a distanza (RCE) L'esecuzione di codice a distanza ( Remote Code Execution o RCE) è una vulnerabilità che consente a un utente malintenzionato di eseguire comandi arbitrari su un server o un sistema remoto, senza avervi accesso fisico. Nel caso presente, le falle PHP2Shell permettevano a KillaBoi di iniettare codice malevolo tramite richieste HTTP, prendendo così il controllo del server. Per esempio, un utente malintenzionato potrebbe sfruttare una RCE per accedere a file sensibili, come le chiavi private di portafogli crypto, o per installare software malevoli. Chiave privata e firma della transazione Una chiave privata è una stringa di caratteri segreta che permette di dimostrare la proprietà di un indirizzo Bitcoin e di autorizzare le transazioni. In questo incidente, l'hacker ha recuperato la chiave privata memorizzata sul server per firmare una transazione che trasferiva i fondi verso il proprio portafoglio. La firma digitale, generata a partire da questa chiave, è ciò che convalida la transazione sulla blockchain. Se una chiave privata viene compromessa, i fondi associati diventano…