গবেষক বিটকয়েন হ্যাকিং চ্যালেঞ্জে একটি গুরুতর PHP দুর্বলতা ব্যবহার করেন

অক্টোবর ২৫-এ অনলাইনে কিল্লা নামে পরিচিত একজন গবেষক পাবলিক স্টিল মাই বিটকয়েন চ্যালেঞ্জ সার্ভারে একটি গুরুতর PHP দুর্বলতা ব্যবহার করে কোড চালানোর মাধ্যমে একটি গোপন ওয়ালেট ক্রেডেনশিয়াল বের করেন এবং একটি বিটকয়েন বাউন্টি জিতেন। চ্যালেঞ্জ অপারেটর জেমস পাভুর ব্রিচটি নিশ্চিত করেন এবং বলেন যে সার্ভার লগগুলি কিল্লার ফলাফলগুলিকে সমর্থন করে। তবে, পাভুর সার্ভারে ভুল বিটকয়েন প্রাইভেট কী রেখেছিলেন।

প্রতিযোগিতাটি অক্টোবর ২১-এ গুরুত্বপূর্ণ PHP ভালনারেবিলিটি CVE-2026-109618 এবং CVE-2026-109619 এর প্রকাশের পর শুরু হয়। গবেষকদের মতে, এই ভালনারেবিলিটিগুলি প্রভাবিত সার্ভারগুলিতে রিমোট কোড এক্সিকিউশন সক্ষম করতে পারে। এই আবিষ্কারগুলি ক্রিপ্টোকারেন্সি সিকিউরিটি এক্সিকিউটিভদের তাৎক্ষণিক সতর্কবার্তা এবং জরুরি সফটওয়্যার আপডেটের দিকে নিয়ে গেল। চ্যালেঞ্জটি একটি পাবলিক টেস্টে পরিণত হল, যেখানে দাবি করা হচ্ছিল যে কৃত্রিম বুদ্ধিমত্তা গুরুতর সিকিউরিটি ফ্লোগুলির দুর্বলতা উপযোগের প্রক্রিয়াকে সহজ করছে। সার্ভারটির আক্রমণের প্রতি প্রতিরোধের দেখা গেল, যা আক্রমণকারীদের এই ভালনারেবিলিটিগুলির উপযোগ করার সহজতা নিয়ে সন্দেহের সৃষ্টি করল।

পাভুর মূলত সাধারণ HTML প্রদানের জন্য PHP-এর বিল্ট-ইন ওয়েব সার্ভার ব্যবহার করেছিলেন, যা ভালোবাসা ফাংশনালিটির অ্যাক্সেসকে সীমিত করেছিল। সাইবার নিরাপত্তা গবেষকদের মতে, চ্যালেঞ্জের প্রাথমিক বেঁচে থাকা দেখিয়েছিল যে দুর্বলতাগুলি কি ব্যবহার করা যাবে তা সম্পর্কে কিছুই বলেনি। পরবর্তীতে পাভুর কনফিগারেশন সমস্যাটি স্বীকার করেন। পাভুর বলেন, ২৫ অক্টোবর, ১৩:০০ UTC-এর প্রায় সময়ে একটি অ্যাক্সেসযোগ্য PHP পেজ যোগ করা হয়েছিল। সফল ব্রিচটি ১৫:৪৭:৩৮ UTC-এ ঘটে, যা তিন ঘণ্টারও কম সময়ের মধ্যে।

নীতিবদ্ধ হ্যাকার এবং হ্যাকট্রনের সহ-প্রতিষ্ঠাতা মোহন "s1r1us" পেধাপাতি সতর্ক করেছেন যে প্রতিযোগিতার আলোচনা ব্যবসাগুলিকে হুমকির কম মূল্যায়ন করতে উৎসাহিত করতে পারে। পেধাপাতি যুক্তি দিয়েছেন যে প্রাথমিক চ্যালেঞ্জটি অবাস্তব ছিল, কারণ ভারী ট্রাফিকটি একক-থ্রেডেড PHP সার্ভারকে অতিচাপিত করেছিল, যা দুর্নীতির জন্য অসাধারণভাবে কঠিন করে তুলেছিল। পেধাপাতি সতর্ক করেছেন যে এই অবস্থাগুলি সীমান্ত AI মডেল ব্যবহারকারীদের আরও অনুকূল পরিস্থিতিতেও সমস্যার সম্মুখীন হওয়ার প্রমাণ হিসেবে বিবেচনা করা যায় না। পেধাপাতি আরও সতর্ক করেছেন যে, একটি ভুলভাবে কনফিগারড, অসমাধানিত চ্যালেঞ্জকে একটি অতিরঞ্জিত হুমকির প্রমাণ হিসেবে বিবেচনা করলে মিথ্যা আত্মবিশ্বাসের সৃষ্টি হতে পারে এবং প্যাচিংয়ের বিলম্ব ঘটতে পারে।

কিলা পরবর্তীতে গিটহাবে একটি প্রুফ অফ কনসেপ্ট পোস্ট করেন যেখানে দুর্বলতা শনাক্তকরণের ধাপগুলি এবং একটি পৃথক পরীক্ষাগার পুনরুৎপাদন বর্ণনা করা হয়েছে। কিলার অ্যাকাউন্টে একটি সফল সার্ভার প্রতিক্রিয়া রেকর্ড করা হয়েছিল যাতে একটি বিটকয়েন প্রাইভেট কী অন্তর্ভুক্ত ছিল। তবে, কিলা স্বীকার করেন যে মূল চেষ্টার কিছু রেকর্ড সংরক্ষণ করা হয়নি। প্রকাশিত প্রমাণগুলি দেখায় না যে একটি স্বয়ংসম্পূর্ণ AI সিস্টেম আক্রমণটি সম্পন্ন করেছিল। প্রমাণগুলি এছাড়াও সম্পূর্ণভাবে দলিলবদ্ধ করেনি যে সফল চেষ্টায় মডেলগুলি কীভাবে ব্যবহার করা হয়েছিল।