Хакер скористався двома вразливостями PHP, щоб викрасти 2 000 $ у Bitcoin

Хакер викрав понад 2 000 доларів у Bitcoin (BTC), скориставшись двома критичними вразливостями мови PHP в рамках онлайн-челенджу, організованого для перевірки стійкості вебсерверів. Атака, здійснена менш ніж за 19 годин, нагадує про постійні ризики, пов'язані з безпекою інфраструктур, що хостять криптогаманці, тоді як ринок Bitcoin залишається стабільним із капіталізацією близько 600 мільярдів доларів. Контекст Інцидент стався на тлі того, що програмні помилки продовжують бути серйозною загрозою для онлайн-сервісів, які керують цифровими активами. PHP, мова програмування, що використовується майже на 75% вебсайтів за оцінками W3Techs, була оновлена 21 жовтня 2026 року для виправлення двох критичних вразливостей під назвою PHP2Shell. Ці прогалини, що отримали оцінку 9,2 з 10 за шкалою тяжкості CVSS, дозволяють віддалене виконання коду (RCE) та несанкціонований доступ до файлів сервера. Челендж "Steal My Bitcoin", запущений користувачем під псевдонімом cloudlandsdev на форумі Hacker News, мав на меті оцінити реальну небезпеку цих вразливостей. Організатор навмисно встановив непатчену версію PHP (8.4.26) на сервер, де зберігався приватний ключ Bitcoin, запропонувавши початкову винагороду в 500 доларів, яка зросла до понад 2 000 доларів завдяки зовнішнім внескам. Такого роду ініціативи, хоча й є суперечливими, є поширеними в спільноті кібербезпеки для перевірки меж існуючих засобів захисту. На момент атаки курс Bitcoin коливався близько 80 269 доларів, а ринкова капіталізація становила 1,61 трильйона доларів, згідно з даними CryptoScore Pro станом на 26 жовтня 2026 року. Попри стабільність курсів, інцидент стався в умовах підвищеної пильності регуляторів та інвесторів щодо ризиків хакерства, зокрема після набрання чинності європейським регламентом MiCA у 2024 році. Факти Атака була здійснена хакером, відомим під псевдонімом KillaBoi , якому вдалося заволодіти 0,02511679 BTC (що становить приблизно 2 021 долар за поточним курсом) 25 жовтня 2026 року о 15:47 UTC. Згідно з інформацією, опублікованою Cryptoast, крадіжка була здійснена шляхом експлуатації вразливостей PHP2Shell (зареєстровані як CVE-2026-109618 та CVE-2026-109619), що дозволило отримати віддалений контроль над цільовим сервером. Ось ключові елементи операції: Загальний час компрометації сервера склав 19 годин — від виявлення вразливості до транзакції з виведення коштів. Цільовий сервер розміщував Bitcoin-гаманець, доступний через веб-інтерфейс, приватний ключ якого зберігався у відкритому вигляді або в незахищеному конфігураційному файлі. Середня ставка комісії в мережі Bitcoin на момент інциденту становила 0,135 sat/vB, що означає незначну вартість транзакції для переказу коштів, згідно з даними Cryptoast. На відміну від того, що було оголошено спочатку, приватний ключ, отриманий KillaBoi , не відповідав Bitcoin-адресі, пов'язаній з винагородою. Організатор челенджу насправді розмістив на сервері ключ від іншої гілки свого гаманця, після чого сам переказав кошти хакеру після підтвердження атаки. KillaBoi опублікував код свого експлойта на GitHub, детально описавши двоетапний метод: Перша фаза виснаження пам'яті сервера з наступною експлуатацією залишків даних для ідентифікації внутрішніх адрес. Обхід ASLR ( Address Space Layout Randomization ), захисту, що робить розташування в пам'яті непередбачуваним, шляхом створення підроблених структур даних. Згідно з його тестами, атака спрацювала в 7 випадках з 10 у контрольованому середовищі, але KillaBoi зазначає, що його експлойт був специфічним для конфігурації челенджу і не гарантує ефективності на інших інсталяціях PHP. Крім того, кілька учасників підкреслили, що сервер був неправильно налаштований протягом значної частини челенджу, що затримало експлуатацію вразливості. Окрім цього окремого випадку, виникли ширші занепокоєння. Компанія з кібербезпеки CYFIRMA виявила кампанію з розвідки, спрямовану на 216 серверів, потенційно вразливих до PHP2Shell, зокрема в державному, банківському та промисловому секторах, згідно зі звітом, на який посилається The Hacker News . Операції, що здійснювалися з 21 скомпрометованої машини, приписують північнокорейським хакерам, близьким до групи Lazarus, хоча це приписування залишається невпевненим. Крім того, Palo Alto Networks повідомила про атаку на європейську адміністрацію, не підтвердивши використання вразливостей PHP2Shell. Розуміння ключових понять Віддалене виконання коду (RCE) Віддалене виконання коду ( Remote Code Execution або RCE) — це вразливість, яка дозволяє зловмиснику виконувати довільні команди на сервері або віддаленій системі без фізичного доступу до неї. У цьому випадку вразливості PHP2Shell дозволили KillaBoi впровадити шкідливий код через HTTP-запити, таким чином отримавши контроль над сервером. Наприклад, зловмисник міг би використати RCE для доступу до конфіденційних файлів, таких як приватні ключі криптогаманців, або для встановлення шкідливого програмного забезпечення. Приватний ключ і підпис транзакції Приватний ключ — це секретний рядок символів, який дозволяє підтвердити право власності на Bitcoin-адресу та санкціонувати транзакції. У цьому інциденті хакер вилучив приватний ключ, що зберігався на сервері, щоб підписати транзакцію з переказом коштів на свій власний гаманець. Цифровий підпис, створений за допомогою цього ключа, є тим, що підтверджує транзакцію в блокчейні. Якщо приватний ключ скомпрометовано, пов'язані з ним кошти стають доступними будь-кому, хто ним володіє, звідси випливає важливість його безпечного зберігання (наприклад, у hardware wallet або цифровому сховищі). ASLR ( Address Space Layout Randomization ) ASLR — це техніка комп'ютерної безпеки, яка рандомізує розташування даних у пам'яті, що ускладнює атаки, які використовують програмні вразливості. У випадку з PHP2Shell, KillaBoi обійшов цей захист, використовуючи залишкові дані, залишені процесом PHP, для реконструкції шкідливих структур даних. Цей тип обходу ілюструє постійні перегони між засобами захисту та методами атак, де хакери адаптують свої…