Челендж «Steal My Bitcoin» на PHP зламано: що це доводить

Публічний баунті, що мав перевірити, наскільки небезпечні дві щойно розкриті вразливості PHP, нарешті виграно: дослідник під ніком «Killa» 25 жовтня виконав код на сервері «Steal My Bitcoin» і витягнув прихований ключ гаманця, пише CryptoSlate. Організатор челенджу Джеймс Павур підтвердив атаку, пославшись на журнали сервера.

Що це був за челендж

Конкурс з'явився після того, як 21 жовтня розкрили CVE-2026-109618 і CVE-2026-109619 — дві критичні вразливості PHP, які, за словами дослідників, дають змогу віддалено виконувати код на вразливих серверах. Керівники з безпеки криптокомпаній закликали негайно оновитися. Павур поклав невеликий біткоїн-приз на навмисно неоновлений сервер, щоб перевірити ці попередження, — і кілька днів сервер тримався, що дехто сприйняв як доказ перебільшення.

Чому перші дні нічого не доводили

Дослідники безпеки критикували початкову конфігурацію, бо вона майже не відкривала вразливий код. Співзасновник Hacktron Мохан «s1r1us» Педхапаті назвав висновок про «перебільшення» «дуже небезпечним наративом» і попередив, що через нього компанії можуть відкладати оновлення. До того ж на старті однопотоковий сервер не витримував навантаження. Щойно з'явилася реалістична сторінка, сервер упав менш ніж за три години.

Був і несподіваний поворот: ключ на сервері виявився не від того гаманця, тож приз 0,02511679 BTC Павуру довелося переказати самому, пише The Defiant. Killa опублікував proof of concept на GitHub, хоча з записів не видно, чи атаку здійснив автономний ШІ-інструмент.

Який висновок

Якщо у вас щось працює на PHP — зокрема платіжні плагіни чи власні магазини, що приймають крипту, — оновлюйтеся зараз, а не чекайте доказів масових атак. І ніколи не тримайте ключі гаманців на вебсервері: заощадження зберігайте на апаратному гаманці і дотримуйтеся нашого чекліста як безпечно зберігати криптовалюту. Після гучних новин про вразливості часто з'являються фішингові схеми, тож варто освіжити й наш гайд як розпізнати криптошахрайство.