Хакер эксплуатировал две уязвимости PHP, чтобы похитить Bitcoin на сумму 2 000 $

Хакер похитил более 2 000 долларов в Bitcoin (BTC), используя две критические уязвимости языка PHP в рамках онлайн-челленджа, организованного для проверки устойчивости веб-серверов. Атака, проведённая менее чем за 19 часов, напоминает о постоянных рисках, связанных с безопасностью инфраструктур, на которых размещаются криптокошельки, в то время как рынок Bitcoin остаётся стабильным с капитализацией около 600 миллиардов долларов. Контекст Инцидент происходит в условиях, когда программные уязвимости продолжают представлять серьёзную угрозу для онлайн-сервисов, управляющих цифровыми активами. PHP, язык программирования, используемый примерно на 75 % веб-сайтов по оценкам W3Techs, был обновлён 21 октября 2026 года для устранения двух критических уязвимостей под названием PHP2Shell. Эти уязвимости, оценённые в 9,2 балла по шкале серьёзности CVSS, позволяют выполнять удалённый код (RCE) и получать несанкционированный доступ к файлам сервера. Челлендж \"Steal My Bitcoin\", запущенный пользователем под псевдонимом cloudlandsdev на форуме Hacker News, был призван оценить реальную опасность этих уязвимостей. Организатор намеренно установил неисправленную версию PHP (8.4.26) на сервер, на котором хранился приватный ключ Bitcoin, назначив первоначальное вознаграждение в 500 долларов, которое благодаря взносам сторонних участников было увеличено до более чем 2 000 долларов. Подобные инициативы, хотя и вызывают споры, распространены в сообществе кибербезопасности для проверки пределов существующих защит. На момент атаки Bitcoin торговался около 80 269 долларов при рыночной капитализации 1,61 триллиона долларов, по данным CryptoScore Pro на 26 октября 2026 года. Несмотря на стабильность курса, инцидент происходит в условиях повышенной бдительности регуляторов и инвесторов в отношении рисков взлома, особенно после вступления в силу европейского регламента MiCA в 2024 году. Факты Атака была проведена хакером, известным под псевдонимом KillaBoi , который смог похитить 0,02511679 BTC (примерно 2 021 доллар по курсу того дня) 25 октября 2026 года в 15:47 UTC. Согласно информации, опубликованной Cryptoast, кража была осуществлена с использованием уязвимостей PHP2Shell (указанных как CVE-2026-109618 и CVE-2026-109619), что позволило удалённо захватить целевой сервер. Вот ключевые элементы операции: Общее время компрометации сервера составило 19 часов, от обнаружения уязвимости до транзакции вывода средств. На атакованном сервере размещался биткоин-кошелёк, доступный через веб-интерфейс, закрытый ключ которого хранился в открытом виде или в небезопасном конфигурационном файле. Средняя комиссия сети Bitcoin в момент инцидента составляла 0,135 sat/vB, то есть стоимость транзакции для перевода средств была пренебрежимо мала, по данным Cryptoast. Вопреки первоначальным заявлениям, закрытый ключ, полученный KillaBoi , не соответствовал биткоин-адресу, связанному с наградой. Организатор челленджа на самом деле поместил на сервер ключ другой ветки своего кошелька, а затем сам перевёл средства хакеру после подтверждения атаки. KillaBoi опубликовал код своего эксплойта на GitHub, описав двухэтапный метод: Первая фаза — исчерпание памяти сервера, за которым следует использование остаточных данных для выявления внутренних адресов. Обход ASLR ( Address Space Layout Randomization ), защиты, призванной делать расположение областей памяти непредсказуемым, путём создания поддельных структур данных. По его тестам, атака сработала в 7 случаях из 10 в контролируемой среде, однако KillaBoi уточняет, что его эксплойт был специфичен для конфигурации челленджа и не гарантирует эффективности на других установках PHP. Несколько участников также отметили, что сервер был неправильно настроен на протяжении большей части челленджа, что задерживало эксплуатацию уязвимости. Помимо этого отдельного случая, возникли более широкие опасения. Компания по кибербезопасности CYFIRMA выявила кампанию разведки, нацеленную на 216 потенциально уязвимых серверов для PHP2Shell, в частности в государственном, банковском и промышленном секторах, согласно отчёту, цитируемому The Hacker News . Операции, проводимые с 21 скомпрометированной машины, по имеющимся данным, приписываются северокорейским хакерам, связанным с группой Lazarus, хотя эта атрибуция остаётся неопределённой. Кроме того, Palo Alto Networks сообщила об атаке на европейскую администрацию, но не смогла подтвердить использование уязвимостей PHP2Shell. Понимание ключевых понятий Удалённое выполнение кода (RCE) Удалённое выполнение кода ( Remote Code Execution , или RCE) — это уязвимость, позволяющая злоумышленнику выполнять произвольные команды на сервере или удалённой системе без физического доступа к ним. В данном случае уязвимости PHP2Shell позволяли KillaBoi внедрять вредоносный код через HTTP-запросы, получая таким образом контроль над сервером. Например, злоумышленник мог бы использовать RCE для доступа к конфиденциальным файлам, таким как закрытые ключи криптокошельков, или для установки вредоносного ПО. Закрытый ключ и подпись транзакции Закрытый ключ — это секретная строка символов, которая позволяет доказать владение биткоин-адресом и авторизовать транзакции. В этом инциденте хакер извлёк закрытый ключ, хранившийся на сервере, чтобы подписать транзакцию, переводящую средства на его собственный кошелёк. Цифровая подпись, созданная на основе этого ключа, и подтверждает транзакцию в блокчейне. Если закрытый ключ скомпрометирован, связанные с ним средства становятся доступными любому, кто им владеет, поэтому так важно хранить его надёжно (например, в аппаратном кошельке или цифровом хранилище). ASLR ( Address Space Layout Randomization ) ASLR — это технология информационной безопасности, которая делает расположение данных в памяти случайным, усложняя атаки, использующие программные уязвимости. В случае PHP2Shell KillaBoi обошёл эту защиту, используя остаточные данные, оставленные процессом PHP, для восстановления вредоносных структур данных. Такой обход иллюстрирует постоянное…