رسالة BlockBeats، في 26 أكتوبر، نجح باحث الأمان killa (اسم المستخدم على GitHub: KillaBoi) في استغلال الثغرة الحرجة حديثة الكشف في PHP تسمى PHP2Shell (CVE-2026-109618 و CVE-2026-109619) لاختراق موقع المكافآت العامة stealmybitcoin[.]com، وحصل على مكافأة بقيمة حوالي 2021 دولارًا أمريكيًا في بيتكوين (0.02511679 BTC).
وفقًا للتقارير، بعد كشف ثغرة تنفيذ رموز عن بُعد في PHP في 20 أكتوبر، وبسبب عدم ظهور كود هجوم موثوق وعُلني لفترة طويلة، قام شخص ما ببناء هذا الموقع في 24 أكتوبر، واستخدم إصدارًا غير مُصلح من PHP، وعرض حوالي 500 دولار من البيتكوين كـ "مكافأة مكافأة" لدعوة القراصنة للتحقق من قابلية الثغرة للهجوم الفعلي. وازدادت المكافأة لاحقًا إلى حوالي 2000 دولار بسبب التبرعات. وبعد حوالي 19.5 ساعة من بدء التحدي، قام killa بكتابة كود هجوم قابل للتطبيق، ونجح في الحصول على المفتاح الخاص من الخادم. وقام صاحب الموقع لاحقًا بالتأكيد على حل التحدي، وأشار إلى أن وضعه للمفتاح كان خطأً، لكنه اعترف بنجاح الهجوم. ثم نشر killa PoC الكامل على GitHub.