Hacker khai thác hai lỗ hổng PHP để đánh cắp 2.000 USD bằng Bitcoin

Một hacker đã đánh cắp hơn 2.000 đô la bằng Bitcoin (BTC) bằng cách khai thác hai lỗ hổng nghiêm trọng của ngôn ngữ PHP, trong khuôn khổ một thử thách trực tuyến được tổ chức để kiểm tra độ bền vững của các máy chủ web. Cuộc tấn công, diễn ra trong chưa đầy 19 giờ, nhắc nhở về những rủi ro dai dẳng liên quan đến bảo mật của các cơ sở hạ tầng lưu trữ ví tài sản mã hóa, trong khi thị trường Bitcoin vẫn ổn định với vốn hóa khoảng 600 tỷ đô la. Bối cảnh Sự cố này diễn ra trong bối cảnh các lỗ hổng phần mềm tiếp tục là mối đe dọa lớn đối với các dịch vụ trực tuyến quản lý tài sản kỹ thuật số. PHP, một ngôn ngữ lập trình được sử dụng bởi gần 75% các trang web theo ước tính của W3Techs, đã được cập nhật vào ngày 21 tháng 10 năm 2026 để khắc phục hai lỗ hổng nghiêm trọng, được gọi là PHP2Shell. Những lỗ hổng này, được chấm 9,2 trên 10 theo thang điểm nghiêm trọng CVSS, cho phép thực thi mã từ xa (RCE) và truy cập trái phép vào các tệp của máy chủ. Thử thách "Steal My Bitcoin", được khởi xướng bởi một người dùng mạng với biệt danh cloudlandsdev trên diễn đàn Hacker News, nhằm đánh giá mức độ nguy hiểm thực tế của những lỗ hổng này. Người tổ chức đã cố tình cài đặt một phiên bản PHP chưa được vá lỗi (8.4.26) trên một máy chủ lưu trữ khóa riêng Bitcoin, đưa ra phần thưởng ban đầu là 500 đô la, sau đó tăng lên hơn 2.000 đô la nhờ các đóng góp từ bên ngoài. Loại sáng kiến này, mặc dù gây tranh cãi, nhưng phổ biến trong cộng đồng an ninh mạng để kiểm tra giới hạn của các biện pháp bảo vệ hiện có. Tại thời điểm xảy ra cuộc tấn công, Bitcoin giao dịch quanh mức 80.269 đô la, với vốn hóa thị trường là 1,61 nghìn tỷ đô la, theo dữ liệu từ CryptoScore Pro tính đến ngày 26 tháng 10 năm 2026. Bất chấp sự ổn định của giá cả, sự cố này xảy ra trong một môi trường được đánh dấu bởi sự cảnh giác tăng cao của các cơ quan quản lý và các nhà đầu tư trước rủi ro bị hack, đặc biệt là sau khi quy định MiCA của châu Âu có hiệu lực vào năm 2024. Các sự kiện Cuộc tấn công được thực hiện bởi một hacker với biệt danh là KillaBoi , người đã chiếm đoạt thành công 0,02511679 BTC (tương đương khoảng 2.021 đô la theo tỷ giá hiện tại) vào lúc 15:47 UTC ngày 25 tháng 10 năm 2026. Theo thông tin được công bố bởi Cryptoast, vụ trộm được thực hiện bằng cách khai thác các lỗ hổng PHP2Shell (mã CVE-2026-109618 và CVE-2026-109619), cho phép kiểm soát từ xa máy chủ mục tiêu. Dưới đây là các yếu tố chính của chiến dịch này: Tổng thời gian xâm nhập máy chủ là 19 giờ, tính từ lúc phát hiện lỗ hổng cho đến khi thực hiện giao dịch chuyển tiền ra ngoài. Máy chủ bị nhắm tới lưu trữ một ví Bitcoin có thể truy cập thông qua giao diện web, trong đó khóa riêng (private key) được lưu dưới dạng văn bản thuần túy hoặc trong một tệp cấu hình không bảo mật. Phí mạng Bitcoin trung bình tại thời điểm xảy ra sự cố là 0,135 sat/vB, nghĩa là chi phí giao dịch để chuyển tiền là không đáng kể, theo dữ liệu từ Cryptoast. Trái với thông báo ban đầu, khóa riêng mà KillaBoi thu thập được không tương ứng với địa chỉ Bitcoin gắn với phần thưởng. Ban tổ chức thử thách thực chất đã đặt khóa của một nhánh khác trong ví của họ lên máy chủ, trước khi tự mình chuyển tiền cho hacker sau khi cuộc tấn công được xác nhận. KillaBoi đã công bố mã khai thác của mình trên GitHub, chi tiết phương pháp gồm hai bước: Giai đoạn đầu là làm cạn kiệt bộ nhớ của máy chủ, sau đó khai thác dữ liệu dư thừa để xác định các địa chỉ nội bộ. Vượt qua ASLR ( Address Space Layout Randomization ), một cơ chế bảo vệ nhằm làm cho các vị trí bộ nhớ trở nên không thể dự đoán, thông qua việc xây dựng các cấu trúc dữ liệu giả. Theo các thử nghiệm, cuộc tấn công đã thành công trong 7 trên 10 trường hợp trong môi trường kiểm soát, nhưng KillaBoi lưu ý rằng mã khai thác của mình đặc thù cho cấu hình của thử thách này và không đảm bảo hiệu quả trên các cài đặt PHP khác. Ngoài ra, nhiều người tham gia đã nhấn mạnh rằng máy chủ đã bị cấu hình sai trong phần lớn thời gian của thử thách, làm chậm quá trình khai thác lỗ hổng. Ngoài trường hợp đơn lẻ này, những lo ngại rộng hơn đã nảy sinh. Công ty an ninh mạng CYFIRMA đã xác định một chiến dịch trinh sát nhắm vào 216 máy chủ có khả năng bị tổn thương bởi PHP2Shell, đặc biệt là trong các lĩnh vực chính phủ, ngân hàng và công nghiệp, theo một báo cáo được trích dẫn bởi The Hacker News . Các hoạt động này, được thực hiện từ 21 máy đã bị xâm nhập, được cho là do các hacker Triều Tiên thân cận với nhóm Lazarus thực hiện, mặc dù việc xác định này vẫn chưa chắc chắn. Ngoài ra, Palo Alto Networks đã báo cáo một cuộc tấn công nhắm vào một cơ quan quản lý châu Âu, nhưng không thể xác nhận việc sử dụng các lỗ hổng PHP2Shell. Hiểu các khái niệm chính Thực thi mã từ xa (RCE) Thực thi mã từ xa ( Remote Code Execution hoặc RCE) là một lỗ hổng cho phép kẻ tấn công thực thi các lệnh tùy ý trên một máy chủ hoặc hệ thống từ xa mà không cần truy cập vật lý. Trong trường hợp này, các lỗ hổng PHP2Shell cho phép KillaBoi chèn mã độc thông qua các yêu cầu HTTP, từ đó chiếm quyền kiểm soát máy chủ. Ví dụ, kẻ tấn công có thể khai thác RCE để truy cập các tệp nhạy cảm, chẳng hạn như khóa riêng của ví crypto, hoặc để cài đặt phần mềm độc hại. Khóa riêng và chữ ký giao dịch Khóa riêng (private key) là một chuỗi ký tự bí mật cho phép chứng minh quyền sở hữu một địa chỉ Bitcoin và ủy quyền cho các giao dịch. Trong sự cố này, hacker đã thu thập khóa riêng được lưu trữ trên máy chủ để ký một giao dịch chuyển tiền về ví của chính mình. Chữ ký số, được tạo ra từ khóa này, là yếu tố xác thực giao dịch trên blockchain. Nếu một khóa riêng bị lộ, các khoản tiền liên kết sẽ trở nên khả dụng cho bất kỳ ai nắm giữ nó, đó là lý do tại sao việc lưu trữ an toàn là rất quan trọng (ví dụ: trong một wallet hardware hoặc két sắt kỹ thuật số). ASLR ( Address Space Layout Randomization ) ASLR là một kỹ thuật bảo mật máy tính giúp ngẫu nhiên hóa vị trí của dữ liệu trong bộ nhớ, từ đó gây khó khăn cho các cuộc tấn công khai thác lỗ hổng phần mềm. Trong trường hợp của PHP2Shell, KillaBoi đã vượt qua lớp bảo vệ…