Hacker explora duas falhas do PHP para roubar US$ 2.000 em Bitcoin

Um hacker roubou mais de 2.000 dólares em Bitcoin (BTC) explorando duas vulnerabilidades críticas da linguagem PHP, no âmbito de um desafio online organizado para testar a robustez dos servidores web. O ataque, realizado em menos de 19 horas, relembra os riscos persistentes ligados à segurança das infraestruturas que hospedam carteiras de criptoativos, enquanto o mercado do Bitcoin permanece estável em torno de 600 mil milhões de dólares de capitalização. Contexto O incidente insere-se num contexto em que as falhas de software continuam a representar uma ameaça importante para os serviços online que gerem ativos digitais. O PHP, uma linguagem de programação utilizada por cerca de 75% dos sites, segundo as estimativas da W3Techs, tinha sido atualizado a 21 de outubro de 2026 para corrigir duas vulnerabilidades críticas, denominadas PHP2Shell. Estas falhas, classificadas com 9,2 em 10 na escala de gravidade CVSS, permitem a execução remota de código (RCE) e o acesso não autorizado aos ficheiros do servidor. O desafio \"Steal My Bitcoin\", lançado por um internauta sob o pseudónimo cloudlandsdev no fórum Hacker News, pretendia avaliar a perigosidade real destas vulnerabilidades. O organizador tinha instalado deliberadamente uma versão não corrigida do PHP (8.4.26) num servidor que alojava uma chave privada Bitcoin, oferecendo uma recompensa inicial de 500 dólares, elevada para mais de 2.000 dólares graças a contribuições externas. Este tipo de iniciativa, embora controverso, é comum na comunidade de cibersegurança para testar os limites das proteções existentes. No momento do ataque, o Bitcoin situava-se em torno de 80.269 dólares, com uma capitalização bolsista de 1,61 biliões de dólares, segundo os dados da CryptoScore Pro a 26 de outubro de 2026. Apesar da estabilidade das cotações, o incidente ocorre num ambiente marcado por uma vigilância reforçada dos reguladores e dos investidores face aos riscos de pirataria, nomeadamente após a entrada em vigor do regulamento europeu MiCA em 2024. Os factos O ataque foi realizado por um hacker conhecido pelo pseudônimo KillaBoi , que conseguiu apoderar-se de 0,02511679 BTC (cerca de 2 021 dólares à taxa do dia) em 25 de outubro de 2026 às 15h47 UTC. Segundo as informações publicadas pela Cryptoast, o roubo foi realizado explorando as falhas PHP2Shell (referenciadas como CVE-2026-109618 e CVE-2026-109619), permitindo a tomada de controle remoto do servidor alvo. Eis os elementos principais da operação: O tempo total de comprometimento do servidor foi de 19 horas, desde a descoberta da vulnerabilidade até a transação de saída dos fundos. O servidor visado hospedava uma carteira Bitcoin acessível através de uma interface web, cuja chave privada estava armazenada em texto simples ou em um arquivo de configuração não seguro. A taxa média da rede Bitcoin no momento do incidente era de 0,135 sat/vB, ou seja, um custo de transação insignificante para a transferência dos fundos, segundo os dados da Cryptoast. Contrariamente ao que havia sido anunciado inicialmente, a chave privada obtida por KillaBoi não correspondia ao endereço Bitcoin associado à recompensa. O organizador do desafio havia, na realidade, colocado no servidor a chave de outro ramo de sua carteira, antes de transferir ele mesmo os fundos ao hacker após a validação do ataque. KillaBoi publicou o código de seu exploit no GitHub, detalhando um método em duas etapas: Uma primeira fase de esgotamento da memória do servidor, seguida da exploração dos dados residuais para identificar endereços internos. A contornagem do ASLR ( Address Space Layout Randomization ), uma proteção que visa tornar imprevisíveis as posições da memória, por meio da construção de estruturas de dados falsas. Segundo seus testes, o ataque funcionou em 7 casos de 10 em um ambiente controlado, mas KillaBoi esclarece que seu exploit era específico à configuração do desafio e não garante sua eficácia em outras instalações PHP. Vários participantes também destacaram que o servidor havia sido mal configurado durante grande parte do desafio, atrasando a exploração da falha. Além deste caso isolado, surgiram preocupações mais amplas. A empresa de cibersegurança CYFIRMA identificou uma campanha de reconhecimento visando 216 servidores potencialmente vulneráveis ao PHP2Shell, nomeadamente nos setores governamental, bancário e industrial, segundo um relatório citado pelo The Hacker News . As operações, realizadas a partir de 21 máquinas comprometidas, seriam atribuídas a hackers norte-coreanos ligados ao grupo Lazarus, embora esta atribuição permaneça incerta. Por outro lado, a Palo Alto Networks reportou um ataque contra uma administração europeia, sem poder confirmar a utilização das falhas PHP2Shell. Compreender os conceitos-chave Execução remota de código (RCE) A execução remota de código ( Remote Code Execution ou RCE) é uma vulnerabilidade que permite a um atacante executar comandos arbitrários num servidor ou sistema remoto, sem ter acesso físico a ele. No caso presente, as falhas PHP2Shell permitiam ao KillaBoi injetar código malicioso através de pedidos HTTP, assumindo assim o controlo do servidor. Por exemplo, um atacante poderia explorar uma RCE para aceder a ficheiros sensíveis, como chaves privadas de carteiras cripto, ou para instalar software malicioso. Chave privada e assinatura de transação Uma chave privada é uma sequência secreta de caracteres que permite provar a propriedade de um endereço Bitcoin e autorizar transações. Neste incidente, o hacker recuperou a chave privada armazenada no servidor para assinar uma transação que transferia os fundos para a sua própria carteira. A assinatura digital, gerada a partir desta chave, é o que valida a transação na blockchain. Se uma chave privada for comprometida, os fundos associados tornam-se acessíveis a quem a detiver, daí a importância de a guardar de forma segura (por exemplo, numa wallet hardware ou num cofre digital). ASLR ( Address Space Layout Randomization ) O…