Haker wykorzystał dwie luki w PHP, aby ukraść Bitcoiny o wartości 2000 $

Haker wykradł ponad 2000 dolarów w Bitcoinach (BTC), wykorzystując dwie krytyczne luki w języku PHP, w ramach internetowego wyzwania mającego sprawdzić odporność serwerów WWW. Atak, przeprowadzony w mniej niż 19 godzin, przypomina o trwałych zagrożeniach dla bezpieczeństwa infrastruktury hostującej portfele kryptoaktywów, podczas gdy rynek Bitcoina pozostaje stabilny, z kapitalizacją około 600 miliardów dolarów. Kontekst Incydent wpisuje się w sytuację, w której luki w oprogramowaniu nadal stanowią poważne zagrożenie dla usług online zarządzających aktywami cyfrowymi. PHP, język programowania używany przez około 75% stron internetowych według szacunków W3Techs, został zaktualizowany 21 października 2026 roku, aby załatać dwie krytyczne luki, nazwane PHP2Shell. Podatności te, ocenione na 9,2 w skali ważności CVSS, umożliwiają zdalne wykonanie kodu (RCE) oraz nieautoryzowany dostęp do plików serwera. Wyzwanie \"Steal My Bitcoin\", zainicjowane przez internautę o pseudonimie cloudlandsdev na forum Hacker News, miało na celu ocenę rzeczywistego niebezpieczeństwa tych luk. Organizator celowo zainstalował niezaktualizowaną wersję PHP (8.4.26) na serwerze przechowującym prywatny klucz Bitcoin, oferując początkową nagrodę 500 dolarów, która dzięki wpłatom z zewnątrz wzrosła do ponad 2000 dolarów. Tego typu inicjatywy, choć kontrowersyjne, są powszechne w społeczności cyberbezpieczeństwa i służą testowaniu granic istniejących zabezpieczeń. W chwili ataku Bitcoin kosztował około 80 269 dolarów, a jego kapitalizacja rynkowa wynosiła 1,61 biliona dolarów, według danych CryptoScore Pro z 26 października 2026 roku. Mimo stabilności kursów incydent następuje w otoczeniu, w którym regulatorzy i inwestorzy zachowują zwiększoną czujność wobec ryzyka włamań, zwłaszcza po wejściu w życie europejskiego rozporządzenia MiCA w 2024 roku. Fakty Atak został przeprowadzony przez hakera znanego pod pseudonimem KillaBoi , który przejął 0,02511679 BTC (co odpowiadało około 2 021 dolarom według kursu z tego dnia) 25 października 2026 roku o godzinie 15:47 UTC. Według informacji opublikowanych przez Cryptoast kradzież została dokonana poprzez wykorzystanie luk PHP2Shell (oznaczonych jako CVE-2026-109618 i CVE-2026-109619), umożliwiających zdalne przejęcie kontroli nad docelowym serwerem. Oto kluczowe elementy tej operacji: \n Całkowity czas kompromitacji serwera wyniósł 19 godzin, od odkrycia podatności do transakcji wypłaty środków. \n Atakowany serwer hostował portfel Bitcoin dostępny przez interfejs webowy, którego klucz prywatny był przechowywany w postaci jawnej lub w niezabezpieczonym pliku konfiguracyjnym. \n Średnia stawka opłat w sieci Bitcoin w chwili incydentu wynosiła 0,135 sat/vB, co oznaczało pomijalny koszt transakcji przelewu środków, według danych Cryptoast. \n Wbrew początkowym zapowiedziom, klucz prywatny odzyskany przez KillaBoi nie odpowiadał adresowi Bitcoin powiązanemu z nagrodą. Organizator wyzwania umieścił na serwerze klucz innej gałęzi swojego portfela, a następnie sam przelał środki hakerowi po weryfikacji ataku. KillaBoi opublikował kod swojego exploita na GitHubie, opisując metodę w dwóch etapach: \n Pierwsza faza polegająca na wyczerpaniu pamięci serwera, po której następuje wykorzystanie pozostałych danych w celu zidentyfikowania adresów wewnętrznych. \n Obejście ASLR ( Address Space Layout Randomization ), mechanizmu zabezpieczającego, który czyni lokalizacje w pamięci nieprzewidywalnymi, poprzez konstruowanie fałszywych struktur danych. \n Według jego testów atak zadziałał w 7 przypadkach na 10 w kontrolowanym środowisku, jednak KillaBoi zaznacza, że jego exploit był specyficzny dla konfiguracji wyzwania i nie gwarantuje skuteczności na innych instalacjach PHP. Kilku uczestników zwróciło ponadto uwagę, że serwer był błędnie skonfigurowany przez dużą część wyzwania, co opóźniło wykorzystanie luki. Poza tym konkretnym przypadkiem pojawiły się szersze obawy. Firma cyberbezpieczeństwa CYFIRMA zidentyfikowała kampanię rozpoznawczą wymierzoną w 216 serwerów potencjalnie podatnych na PHP2Shell, zwłaszcza w sektorach rządowym, bankowym i przemysłowym, według raportu cytowanego przez The Hacker News . Operacje, prowadzone z 21 przejętych maszyn, miałyby być przypisane północnokoreańskim hakerom powiązanym z grupą Lazarus, chociaż ta atrybucja pozostaje niepewna. Ponadto Palo Alto Networks zgłosiło atak na europejską administrację, nie mogąc jednak potwierdzić wykorzystania luk PHP2Shell. Zrozumienie kluczowych pojęć Zdalne wykonanie kodu (RCE) Zdalne wykonanie kodu ( Remote Code Execution lub RCE) to podatność pozwalająca atakującemu uruchamiać dowolne polecenia na serwerze lub zdalnym systemie, bez fizycznego dostępu do niego. W omawianym przypadku luki PHP2Shell umożliwiały KillaBoi wstrzykiwanie złośliwego kodu za pomocą żądań HTTP, przejmując tym samym kontrolę nad serwerem. Na przykład atakujący mógłby wykorzystać RCE do uzyskania dostępu do wrażliwych plików, takich jak klucze prywatne portfeli kryptowalutowych, lub do instalacji złośliwego oprogramowania. Klucz prywatny i podpisywanie transakcji Klucz prywatny to tajny ciąg znaków, który pozwala udowodnić własność adresu Bitcoin i autoryzować transakcje. W tym incydencie haker pobrał klucz prywatny przechowywany na serwerze, aby podpisać transakcję przenoszącą środki na jego własny portfel. Podpis cyfrowy, wygenerowany na podstawie tego klucza, jest tym, co zatwierdza transakcję w blockchainie. Jeśli klucz prywatny zostanie przejęty, powiązane z nim środki stają się dostępne dla każdego, kto go posiada, stąd znaczenie bezpiecznego jego przechowywania (na przykład w wallet hardware lub cyfrowym sejfie). ASLR ( Address Space Layout Randomization ) ASLR to technika bezpieczeństwa informatycznego, która losowo rozmieszcza dane w pamięci, utrudniając tym samym ataki wykorzystujące luki w oprogramowaniu. W przypadku PHP2Shell, KillaBoi obszedł tę ochronę, wykorzystując pozostałe dane zostawione przez proces PHP do odtworzenia złośliwych…