Hacker, 2.000 $ değerinde Bitcoin çalmak için iki PHP açığından yararlandı

Bir hacker, web sunucularının dayanıklılığını test etmek için düzenlenen çevrimiçi bir yarışma kapsamında, PHP dilindeki iki kritik güvenlik açığından yararlanarak 2.000 dolardan fazla Bitcoin (BTC) çaldı. 19 saatten kısa sürede gerçekleştirilen saldırı, Bitcoin piyasası yaklaşık 600 milyar dolarlık piyasa değeriyle istikrarını korurken, kripto varlık cüzdanlarını barındıran altyapıların güvenliğiyle ilgili devam eden riskleri hatırlatıyor. Bağlam Olay, yazılım açıklarının dijital varlıkları yöneten çevrimiçi hizmetler için ana tehdit olmaya devam ettiği bir bağlamda gerçekleşti. W3Techs tahminlerine göre web sitelerinin yaklaşık %75'i tarafından kullanılan bir programlama dili olan PHP, PHP2Shell olarak adlandırılan iki kritik güvenlik açığını gidermek için 21 Ekim 2026'da güncellenmişti. CVSS ciddiyet ölçeğinde 10 üzerinden 9,2 puan alan bu açıklar, uzaktan kod yürütülmesine (RCE) ve sunucu dosyalarına yetkisiz erişime olanak tanıyor. Hacker News forumunda cloudlandsdev takma adını kullanan bir internet kullanıcısı tarafından başlatılan "Steal My Bitcoin" yarışması, bu güvenlik açıklarının gerçek tehlikesini değerlendirmeyi amaçlıyordu. Organizatör, bir Bitcoin özel anahtarı barındıran sunucuya kasıtlı olarak PHP'nin düzeltilmemiş bir sürümünü (8.4.26) yüklemişti ve dış katkılarla 2.000 doların üzerine çıkan başlangıçta 500 dolarlık bir ödül sunmuştu. Bu tür girişimler, tartışmalı olsa da, mevcut korumaların sınırlarını test etmek için siber güvenlik topluluğunda yaygındır. Saldırı anında, CryptoScore Pro'nun 26 Ekim 2026 tarihli verilerine göre Bitcoin, 1,61 trilyon dolarlık piyasa değeriyle 80.269 dolar civarında seyrediyordu. Fiyatların istikrarına rağmen olay, özellikle 2024 yılında Avrupa MiCA düzenlemesinin yürürlüğe girmesinin ardından, düzenleyicilerin ve yatırımcıların hackleme risklerine karşı artan dikkatle yaklaştığı bir ortamda meydana geldi. Olaylar Saldırı, 25 Ekim 2026 tarihinde saat 15:47 UTC'de 0,02511679 BTC (güncel kurla yaklaşık 2.021 dolar) çalmayı başaran KillaBoi takma adlı bir hacker tarafından gerçekleştirildi. Cryptoast tarafından yayınlanan bilgilere göre, hırsızlık, hedef sunucunun uzaktan kontrol edilmesine olanak tanıyan PHP2Shell açıklarının (CVE-2026-109618 ve CVE-2026-109619 olarak referans verilen) kullanılmasıyla gerçekleştirildi. Operasyonun temel unsurları şunlardır: Sunucunun toplam ele geçirilme süresi, güvenlik açığının keşfinden fonların çıkış işlemine kadar 19 saat sürmüştür. Hedef sunucu, özel anahtarı açık metin olarak veya güvenli olmayan bir yapılandırma dosyasında saklanan, bir web arayüzü üzerinden erişilebilen bir Bitcoin cüzdanına ev sahipliği yapıyordu. Cryptoast verilerine göre, olay anında Bitcoin ağının ortalama işlem ücreti 0,135 sat/vB idi, bu da fonların transferi için ihmal edilebilir bir işlem maliyeti anlamına geliyordu. Başlangıçta duyurulanın aksine, KillaBoi tarafından ele geçirilen özel anahtar, ödülle ilişkili Bitcoin adresiyle eşleşmiyordu. Yarışma organizatörü, aslında sunucuya cüzdanının başka bir dalının anahtarını yerleştirmiş ve saldırının doğrulanmasının ardından fonları hacker'a kendisi transfer etmişti. KillaBoi , iki aşamalı bir yöntemi detaylandıran exploit kodunu GitHub'da yayınladı: İlk aşamada sunucu belleğinin tüketilmesi, ardından dahili adresleri belirlemek için kalıntı verilerin kullanılması. Bellek konumlarını öngörülemez hale getirmeyi amaçlayan bir koruma olan ASLR'ın ( Address Space Layout Randomization ), sahte veri yapıları oluşturularak atlatılması. Yaptığı testlere göre saldırı, kontrollü bir ortamda 10 durumun 7'sinde başarılı oldu; ancak KillaBoi , exploit'inin yarışma yapılandırmasına özel olduğunu ve diğer PHP kurulumlarında etkili olacağını garanti etmediğini belirtti. Ayrıca birçok katılımcı, sunucunun yarışmanın büyük bir bölümünde yanlış yapılandırıldığını ve bunun da açığın kullanılmasını geciktirdiğini vurguladı. Bu münferit vakanın ötesinde, daha geniş endişeler ortaya çıktı. Siber güvenlik şirketi CYFIRMA, The Hacker News tarafından aktarılan bir rapora göre, özellikle hükümet, bankacılık ve endüstri sektörlerinde olmak üzere PHP2Shell'e karşı potansiyel olarak savunmasız 216 sunucuyu hedef alan bir keşif kampanyası tespit etti. Ele geçirilmiş 21 makine üzerinden yürütülen operasyonların, bu atama belirsizliğini korumakla birlikte, Lazarus grubuyla bağlantılı Kuzey Koreli bilgisayar korsanlarına ait olduğu düşünülüyor. Ayrıca Palo Alto Networks, PHP2Shell açıklarının kullanıldığını doğrulayamasa da, bir Avrupa idaresine yönelik bir saldırı bildirdi. Temel Kavramları Anlamak Uzaktan Kod Çalıştırma (RCE) Uzaktan Kod Çalıştırma ( Remote Code Execution veya RCE), bir saldırganın fiziksel erişimi olmadan uzak bir sunucu veya sistem üzerinde rastgele komutlar çalıştırmasına olanak tanıyan bir güvenlik açığıdır. Mevcut durumda, PHP2Shell açıkları KillaBoi 'nin HTTP istekleri aracılığıyla kötü amaçlı kod enjekte etmesine ve böylece sunucunun kontrolünü ele geçirmesine izin verdi. Örneğin, bir saldırgan hassas dosyalara, örneğin kripto cüzdanlarının özel anahtarlarına erişmek veya kötü amaçlı yazılımlar yüklemek için bir RCE'yi kullanabilir. Özel Anahtar ve İşlem İmzası Özel anahtar, bir Bitcoin adresinin sahipliğini kanıtlamaya ve işlemleri yetkilendirmeye yarayan gizli bir karakter dizisidir. Bu olayda, bilgisayar korsanı fonları kendi cüzdanına aktaran bir işlemi imzalamak için sunucuda saklanan özel anahtarı ele geçirdi. Bu anahtardan üretilen dijital imza, işlemin blokzincirinde doğrulanmasını sağlayan unsurdur. Bir özel anahtar ele geçirilirse, ilişkili fonlar ona sahip olan herkes tarafından erişilebilir hale gelir; bu nedenle anahtarın güvenli bir şekilde saklanması (örneğin, bir hardware wallet veya dijital kasa içinde) büyük önem taşır. ASLR ( Address Space Layout Randomization ) ASLR, bellekteki verilerin konumunu rastgele hale getirerek yazılım açıklarını kullanan saldırıları zorlaştıran bir bilgisayar güvenliği tekniğidir. PHP2Shell durumunda, KillaBoi , kötü amaçlı veri…