แฮกเกอร์ใช้ประโยชน์จากช่องโหว่สองจุดในภาษา PHP เพื่อขโมยบิตคอยน์มูลค่า 2,000 ดอลลาร์

แฮกเกอร์รายหนึ่งขโมยบิตคอยน์ (BTC) มูลค่ากว่า 2,000 ดอลลาร์สหรัฐ โดยใช้ประโยชน์จากช่องโหว่วิกฤตสองจุดในภาษา PHP ภายใต้การแข่งขันออนไลน์ที่จัดขึ้นเพื่อทดสอบความทนทานของเซิร์ฟเวอร์เว็บ การโจมตีซึ่งดำเนินการภายในเวลาไม่ถึง 19 ชั่วโมง เป็นการเตือนถึงความเสี่ยงที่ยังคงมีอยู่ต่อความปลอดภัยของโครงสร้างพื้นฐานที่โฮสต์กระเป๋าสินทรัพย์คริปโต ขณะที่ตลาดบิตคอยน์ยังคงทรงตัวอยู่ที่ราว 600 พันล้านดอลลาร์สหรัฐในมูลค่าตลาดรวม บริบท เหตุการณ์นี้เกิดขึ้นในบริบทที่ช่องโหว่ของซอฟต์แวร์ยังคงเป็นภัยคุกคามสำคัญต่อบริการออนไลน์ที่จัดการสินทรัพย์ดิจิทัล PHP ซึ่งเป็นภาษาโปรแกรมที่ถูกใช้โดยเว็บไซต์ราว 75% ตามการประมาณการของ W3Techs ได้รับการอัปเดตเมื่อวันที่ 21 ตุลาคม 2026 เพื่อแก้ไขช่องโหว่วิกฤตสองจุดที่มีชื่อว่า PHP2Shell ช่องโหว่เหล่านี้ได้คะแนนความรุนแรง 9.2 จาก 10 ตามมาตรวัด CVSS และอนุญาตให้มีการรันโค้ดจากระยะไกล (RCE) และการเข้าถึงไฟล์ของเซิร์ฟเวอร์โดยไม่ได้รับอนุญาต การแข่งขัน "Steal My Bitcoin" ซึ่งเปิดตัวโดยผู้ใช้อินเทอร์เน็ตภายใต้นามแฝง cloudlandsdev บนฟอรั่ม Hacker News มีเป้าหมายเพื่อประเมินระดับความอันตรายที่แท้จริงของช่องโหว่เหล่านี้ ผู้จัดได้ติดตั้ง PHP เวอร์ชันที่ยังไม่ได้แก้ไข (8.4.26) บนเซิร์ฟเวอร์ที่เก็บคีย์ส่วนตัวของบิตคอยน์โดยเจตนา พร้อมรางวัลเริ่มต้น 500 ดอลลาร์สหรัฐ ซึ่งเพิ่มขึ้นเป็นมากกว่า 2,000 ดอลลาร์สหรัฐจากการสนับสนุนของผู้เข้าร่วมภายนอก การริเริ่มในลักษณะนี้แม้จะเป็นที่ถกเถียง แต่ก็พบได้ทั่วไปในชุมชนความปลอดภัยทางไซเบอร์เพื่อทดสอบขีดจำกัดของการป้องกันที่มีอยู่ ในช่วงเวลาที่เกิดการโจมตี บิตคอยน์มีราคาประมาณ 80,269 ดอลลาร์สหรัฐ โดยมีมูลค่าตลาดรวม 1.61 ล้านล้านดอลลาร์สหรัฐ ตามข้อมูลของ CryptoScore Pro ณ วันที่ 26 ตุลาคม 2026 แม้ราคาจะทรงตัว เหตุการณ์นี้เกิดขึ้นในสภาพแวดล้อมที่หน่วยงานกำกับดูแลและนักลงทุนเฝ้าระวังความเสี่ยงจากการแฮกมากขึ้น โดยเฉพาะหลังจากกฎระเบียบ MiCA ของสหภาพยุโรปมีผลบังคับใช้ในปี 2024 ข้อเท็จจริง การโจมตีนี้ดำเนินการโดยแฮกเกอร์ที่รู้จักในชื่อเล่นว่า KillaBoi ซึ่งสามารถยึดครอง 0.02511679 BTC (คิดเป็นประมาณ 2,021 ดอลลาร์สหรัฐตามอัตราแลกเปลี่ยนของวันนั้น) เมื่อวันที่ 25 ตุลาคม 2026 เวลา 15:47 น. UTC ตามข้อมูลที่เผยแพร่โดย Cryptoast การโจรกรรมนี้ดำเนินการโดยใช้ประโยชน์จากช่องโหว่ PHP2Shell (อ้างอิงเป็น CVE-2026-109618 และ CVE-2026-109619) ซึ่งทำให้สามารถควบคุมเซิร์ฟเวอร์เป้าหมายจากระยะไกลได้ ต่อไปนี้คือประเด็นสำคัญของปฏิบัติการครั้งนี้: ระยะเวลารวมในการเข้าควบคุมเซิร์ฟเวอร์อยู่ที่ 19 ชั่วโมง นับตั้งแต่การค้นพบช่องโหว่จนถึงธุรกรรมถอนเงินออกจากระบบ เซิร์ฟเวอร์เป้าหมายโฮสต์กระเป๋าเงิน Bitcoin ที่เข้าถึงได้ผ่านอินเทอร์เฟซเว็บ โดยคีย์ส่วนตัวถูกจัดเก็บแบบข้อความธรรมดาหรือในไฟล์กำหนดค่าที่ไม่ปลอดภัย อัตราค่าธรรมเนียมเฉลี่ยของเครือข่าย Bitcoin ณ เวลาที่เกิดเหตุอยู่ที่ 0.135 sat/vB ซึ่งหมายความว่าค่าธรรมเนียมธุรกรรมสำหรับการโอนเงินนั้นต่ำมาก ตามข้อมูลของ Cryptoast ตรงกันข้ามกับที่ประกาศไว้ในตอนแรก คีย์ส่วนตัวที่ KillaBoi ดึงมาได้นั้นไม่ตรงกับแอดเดรส Bitcoin ที่เชื่อมโยงกับรางวัล ผู้จัดการแข่งขันได้วางคีย์ของอีกสาขาหนึ่งในโครงสร้างกระเป๋าเงินของตนไว้บนเซิร์ฟเวอร์ และหลังจากยืนยันการโจมตีแล้ว ก็โอนเงินให้แฮกเกอร์ด้วยตนเอง KillaBoi ได้เผยแพร่โค้ดของการโจมตีบน GitHub โดยอธิบายวิธีการสองขั้นตอนดังนี้: ขั้นแรกคือการทำให้หน่วยความจำของเซิร์ฟเวอร์หมดลง จากนั้นใช้ข้อมูลที่หลงเหลืออยู่เพื่อระบุแอดเดรสภายใน การข้าม ASLR ( Address Space Layout Randomization ) ซึ่งเป็นกลไกป้องกันที่ทำให้ตำแหน่งหน่วยความจำคาดเดาได้ยาก โดยการสร้างโครงสร้างข้อมูลปลอมขึ้นมา จากการทดสอบของเขา การโจมตีประสบความสำเร็จ 7 ครั้งจาก 10 ครั้งในสภาพแวดล้อมที่ควบคุมได้ อย่างไรก็ตาม KillaBoi ระบุว่าโค้ดการโจมตีของเขาเจาะจงกับการตั้งค่าของการแข่งขันนี้ และไม่รับประกันว่าจะได้ผลกับการติดตั้ง PHP อื่น ๆ นอกจากนี้ ผู้เข้าร่วมหลายคนยังชี้ว่าเซิร์ฟเวอร์ถูกตั้งค่าผิดพลาดในช่วงส่วนใหญ่ของการแข่งขัน ซึ่งทำให้การใช้ประโยชน์จากช่องโหว่ล่าช้าออกไป นอกเหนือจากกรณีเฉพาะนี้ ได้เกิดความกังวลในวงกว้างขึ้น บริษัทด้านความปลอดภัยไซเบอร์ CYFIRMA ได้ระบุแคมเปญการลาดตระเวนที่กำหนดเป้าหมายไปยังเซิร์ฟเวอร์ 216 เครื่องที่อาจมีช่องโหว่ต่อ PHP2Shell โดยเฉพาะในภาคส่วนรัฐบาล ธนาคาร และอุตสาหกรรม ตามรายงานที่อ้างอิงโดย The Hacker News การปฏิบัติการเหล่านี้ดำเนินการจากเครื่องที่ถูกยึดครอง 21 เครื่อง และมีรายงานว่าเป็นฝีมือของแฮกเกอร์เกาหลีเหนือที่เกี่ยวข้องกับกลุ่ม Lazarus แม้ว่าการระบุแหล่งที่มานี้ยังไม่แน่นอน นอกจากนี้ Palo Alto Networks ได้รายงานการโจมตีต่อหน่วยงานบริหารของยุโรปแห่งหนึ่ง แต่ไม่สามารถยืนยันได้ว่ามีการใช้ช่องโหว่ PHP2Shell หรือไม่ ทำความเข้าใจแนวคิดสำคัญ การรันโค้ดจากระยะไกล (RCE) การรันโค้ดจากระยะไกล ( Remote Code Execution หรือ RCE) เป็นช่องโหว่ที่ทำให้ผู้โจมตีสามารถสั่งรันคำสั่งตามต้องการบนเซิร์ฟเวอร์หรือระบบปลายทางได้ โดยไม่จำเป็นต้องเข้าถึงทางกายภาพ ในกรณีนี้ ช่องโหว่ PHP2Shell ทำให้ KillaBoi สามารถฉีดโค้ดอันตรายผ่านคำขอ HTTP และเข้าควบคุมเซิร์ฟเวอร์ได้ ตัวอย่างเช่น ผู้โจมตีอาจใช้ RCE เพื่อเข้าถึงไฟล์สำคัญ เช่น กุญแจส่วนตัวของกระเป๋าเงินคริปโต หรือเพื่อติดตั้งมัลแวร์ กุญแจส่วนตัวและการลงนามธุรกรรม กุญแจส่วนตัว (Private Key) คือรหัสลับที่ใช้พิสูจน์ความเป็นเจ้าของที่อยู่ Bitcoin และอนุญาตให้ทำธุรกรรมได้ ในเหตุการณ์นี้ แฮกเกอร์ได้ดึงกุญแจส่วนตัวที่เก็บไว้บนเซิร์ฟเวอร์เพื่อลงนามธุรกรรมโอนเงินไปยังกระเป๋าของตนเอง ลายเซ็นดิจิทัลที่สร้างจากกุญแจนี้คือสิ่งที่ยืนยันธุรกรรมบนบล็อกเชน หากกุญแจส่วนตัวถูกบุกรุก เงินทุนที่เกี่ยวข้องก็จะเข้าถึงได้โดยทุกคนที่ถือกุญแจนั้น จึงเป็นเหตุผลที่สำคัญในการจัดเก็บอย่างปลอดภัย (เช่น ในกระเป๋าฮาร์ดแวร์ wallet hardware หรือตู้เซฟดิจิทัล) ASLR ( Address Space Layout Randomization ) ASLR เป็นเทคนิคด้านความปลอดภัยทางคอมพิวเตอร์ที่ทำให้ตำแหน่งของข้อมูลในหน่วยความจำมีการสุ่ม ซึ่งช่วยทำให้การโจมตีที่ใช้ช่องโหว่ของซอฟต์แวร์ทำได้ยากขึ้น ในกรณีของ PHP2Shell KillaBoi ได้หลีกเลี่ยงการป้องกันนี้โดยใช้ประโยชน์จากข้อมูลตกค้างที่กระบวนการ PHP ทิ้งไว้ เพื่อสร้างโครงสร้างข้อมูลที่เป็นอันตรายขึ้นมาใหม่ การหลีกเลี่ยงลักษณะนี้สะท้อนการแข่งขันอย่างต่อเนื่องระหว่างมาตรการป้องกันกับวิธีการโจมตี โดยแฮกเกอร์จะปรับเทคนิคของตนเพื่อเอาชนะอุปสรรคที่นักพัฒนาวางไว้ คะแนน CVSS ( Common Vulnerability Scoring System ) คะแนน CVSS เป็นมาตรวัดมาตรฐานที่ใช้ประเมินความร้ายแรงของช่องโหว่ทางคอมพิวเตอร์ โดยมีค่าตั้งแต่ 0 ถึง 10 ช่องโหว่ PHP2Shell (CVE-2026-109618 และ CVE-2026-109619) ได้คะแนน 9,2 ซึ่งจัดให้อยู่ในระดับ "วิกฤต" คะแนนนี้พิจารณาหลายปัจจัย เช่น ผลกระทบที่อาจเกิดขึ้น (การเข้าถึงโดยไม่ได้รับอนุญาต การรันโค้ด) และความง่ายในการถูกใช้ประโยชน์…