黑客利用两个 PHP 漏洞窃取 2,000 美元比特币

一名黑客利用 PHP 语言的两个关键漏洞，在一次旨在测试 Web 服务器鲁棒性的在线挑战赛中，窃取了超过 2,000 美元的比特币 (BTC)。这次攻击在不到 19 小时内完成，再次提醒人们托管加密资产钱包的基础设施所面临的持续安全风险，而此时比特币市场的市值稳定在 6,000 亿美元左右。 背景 此次事件发生在软件漏洞仍是对管理数字资产的在线服务构成重大威胁的背景下。根据 W3Techs 的估计，PHP 是一种被近 75% 的网站使用的编程语言。2026 年 10 月 21 日，PHP 发布了更新以修复两个被称为 PHP2Shell 的关键漏洞。这些漏洞在 CVSS 严重程度量表上的评分为 9.2/10，允许远程代码执行 (RCE) 和未经授权访问服务器文件。 由一名在 Hacker News 论坛上使用化名 cloudlandsdev 的网民发起的“Steal My Bitcoin”挑战赛，旨在评估这些漏洞的实际危险性。组织者故意在托管比特币私钥的服务器上安装了未修复的 PHP 版本 (8.4.26)，最初提供 500 美元的奖励，后通过外部捐赠增加到 2,000 多美元。尽管此类举措存在争议，但在网络安全社区中，为了测试现有防护措施的极限，这种做法十分常见。 根据 CryptoScore Pro 2026 年 10 月 26 日的数据，在攻击发生时，比特币价格在 80,269 美元左右波动，市值达 1.61 万亿美元。尽管价格稳定，但此次事件发生在监管机构和投资者对黑客攻击风险高度警觉的环境中，尤其是在 2024 年欧盟 MiCA 法规生效之后。 事实经过 此次攻击由一名化名为 KillaBoi 的黑客发起，他于 2026 年 10 月 25 日 15:47 UTC 成功窃取了 0.02511679 BTC（按当日汇率约 2,021 美元）。根据 Cryptoast 发布的信息，此次盗窃是通过利用 PHP2Shell 漏洞（编号为 CVE-2026-109618 和 CVE-2026-109619）实现的，从而能够远程控制目标服务器。以下是此次操作的关键要素： 从发现漏洞到资金转出交易，服务器被攻破的总时长为 19 小时。 目标服务器托管了一个可通过 Web 界面访问的 Bitcoin 钱包，其私钥以明文形式或存储在不安全的配置文件中。 根据 Cryptoast 的数据，事发时 Bitcoin 网络的平均手续费率为 0.135 sat/vB，这意味着资金转移的交易成本极低。 与最初宣布的不同， KillaBoi 获取的私钥并不对应与奖励相关的 Bitcoin 地址。挑战组织者实际上在服务器上放置了其钱包另一个分支的私钥，并在验证攻击后自行将资金转移给该黑客。 KillaBoi 在 GitHub 上发布了他的漏洞利用代码，详细说明了一个两步法： 第一阶段是耗尽服务器内存，随后利用残留数据来识别内部地址。 通过构建伪造的数据结构，绕过 ASLR（ Address Space Layout Randomization ，地址空间布局随机化），这是一种旨在使内存位置不可预测的保护机制。 根据其测试，该攻击在受控环境下 10 次中有 7 次成功，但 KillaBoi 指出，他的漏洞利用方案是针对该挑战的特定配置而设计的，不能保证在其他 PHP 安装环境中的有效性。此外，多位参与者强调，服务器在挑战的大部分时间里配置错误，从而延迟了漏洞的利用。 除了这个孤立案例之外，更广泛的担忧也随之而来。根据 The Hacker News 引用的一份报告，网络安全公司 CYFIRMA 发现了一场侦察行动，目标是 216 台可能容易受到 PHP2Shell 攻击的服务器，主要集中在政府、银行和工业领域。这些操作由 21 台被攻破的机器发起，据称与与 Lazarus 组织关系密切的朝鲜黑客有关，尽管这一归属认定仍不确定。此外，Palo Alto Networks 报告了一起针对欧洲行政机构的攻击，但无法确认是否使用了 PHP2Shell 漏洞。 理解关键概念 远程代码执行 (RCE) 远程代码执行 ( Remote Code Execution 或 RCE) 是一种漏洞，允许攻击者在无需物理访问的情况下，在远程服务器或系统上执行任意命令。在本案例中，PHP2Shell 漏洞允许 KillaBoi 通过 HTTP 请求注入恶意代码，从而控制服务器。例如，攻击者可以利用 RCE 访问敏感文件（如加密钱包的私钥）或安装恶意软件。 私钥与交易签名 私钥是一串秘密字符，用于证明比特币地址的所有权并授权交易。在此次事件中，黑客获取了存储在服务器上的私钥，以签署一笔将资金转移到其自身钱包的交易。由该私钥生成的数字签名是验证区块链交易有效性的关键。如果私钥泄露，任何持有该私钥的人都可以访问相关资金，因此将其安全存储（例如在 硬件钱包 或数字保险库中）至关重要。 ASLR ( Address Space Layout Randomization ) ASLR 是一种计算机安全技术，通过随机化内存中数据的存放位置，从而增加利用软件漏洞进行攻击的难度。在 PHP2Shell 的案例中， KillaBoi 通过利用 PHP 进程留下的残留数据来重建恶意数据结构，从而绕过了这一保护机制。这种绕过方式体现了防御措施与攻击手段之间永无止境的博弈，黑客不断调整其技术以突破开发者设置的屏障。 CVSS 评分 ( 通用漏洞评分系统 ) CVSS 评分是衡量计算机漏洞严重程度的标准量化指标，分值范围从 0 到 10。PHP2Shell 漏洞 (CVE-2026-109618 和 CVE-2026-109619) 的评分为 9.2，被归类为“危急 (Critical)”。该评分综合考虑了多个维度，例如潜在影响（未经授权的访问、代码执行）以及利用难度。高分意味着该漏洞需要紧急修复，正如 2026 年 10 月 21 日发布的 PHP 修复版本 (8.2.35, 8.3.36, 8.4.27 和 8.5.12) 所强调的那样。 分析：核心挑战 此次事件揭示了加密基础设施所面临的漏洞机制，其影响远超简单的 2,000 美元被盗。从经济角度来看，PHP 漏洞的利用暴露了攻击执行速度与补丁修复速度之间的结构性失衡。配置错误的服务器（如本次挑战中的服务器）因容易受到远程代码执行 (RCE) 攻击而成为首选目标。对于攻击者而言，这种攻击向量的边际成本几乎为零——根据区块链数据，本次攻击仅耗时 19 小时，且交易手续费低于 0.14 sat/vB。 对于投资者而言，直接影响仍然有限：此次盗窃金额仅占 Bitcoin 市值的 0.000003% 不到（根据 CryptoScore Pro 2026 年 10 月 26 日的数据，市值为 1.61 万亿美元）。然而，声誉影响可能会对 Web 托管服务产生压力，其安全性目前正受到严密审查。行业参与者，如硬件钱包供应商或受监管的交易平台，可能会迎来信任回升，而 Web 托管商则必须将安全审计成本内部化，以避免类似的损失。目前出现了三种情景：最佳实践（PHP 更新、密钥加密）的加速采用、受影响服务保险费的上涨，或者在缺乏明确经济制裁的情况下漏洞依然存在。 风险与不确定性 仍存在多个模糊地带。首先，易受 PHP2Shell 漏洞影响的服务器实际范围尚不确定：虽然 CYFIRMA 提到有 216 个潜在目标，但将攻击归因于朝鲜黑客（Lazarus 组织）尚未得到确认。其次，KillaBoi 的演示基于特定配置，这限制了该漏洞利用的普适性——尽管 CVE-2026-109618 和 CVE-2026-109619 的严重性评分（9.2/10）凸显了系统性风险。最后，Cryptoast 的数据无法验证被入侵的服务器上是否还暴露了其他私钥，以及在挑战范围之外是否还有额外资金被挪用。 此外，最初关于法国 Freebox 暴露的错误提醒人们，漏洞检测方法论存在局限性。因此，管理员在解读安全警报时必须谨慎，尤其是 PHP 补丁（版本 8.2.35 至 8.5.12）并不一定涵盖所有配置。 市场前景与监管 在技术层面，尽管发生了此次事件，Bitcoin 仍表现出相对稳定性：24 小时内下跌 0.21%，7 天内下跌 3%（CryptoScore Pro，2026 年 10 月 26 日），整体市场处于中性状态（恐惧与贪婪指数为 50/100）。这种韧性与过去对重大黑客攻击的反应形成鲜明对比，例如 2021 年 Poly Network 事件，当时的损失超过 6 亿美元。欧洲的监管框架 (MiCA) 可能会起到缓冲作用：通过要求加密服务提供商进行安全审计，理论上降低了软件漏洞的风险敞口。在美国，SEC 尚未对此次事件做出反应，但先例（如 2020 年的 SolarWinds 事件）表明，监管机构可能会要求提交关于关键基础设施漏洞的透明度报告。 与 Ethereum 相比（其 7 天跌幅 -4.3% 更为明显），Bitcoin 似乎受益于其价值存储资产的地位，对运营风险的敏感度较低。然而，此次事件提醒人们，即使对于被认为是去中心化的资产，应用层（如 PHP）的安全性仍然是一个薄弱环节。 要点总结 利用 PHP2Shell 漏洞在不到 19 小时内盗取了 2,000 美元的 Bitcoin，凸显了针对配置错误服务器的攻击速度之快。 相关漏洞 (CVE-2026-109618 和 CVE-2026-109619) 的严重性评分较高 (9.2/10)，但其实际影响取决于服务器的具体配置。 事件发生后 Bitcoin 市场保持稳定，根据 CryptoScore Pro 2026 年 10 月 26 日的数据，市值维持在 1.61 万亿美元。 系统性风险依然存在，特别是对于暴露在外的 Web 服务，而监管机构 (MiCA, SEC) 可能会加强网络安全要求。 尽管 CYFIRMA 报告了侦察活动，但将攻击归因于国家级行为体（如 Lazarus 组织）尚未得到确认。 必须立即应用 PHP 补丁（版本 8.2.35 至 8.5.12）以限制未来的风险敞口。