Un chercheur connu en ligne sous le nom de Killa a exploité une faille critique PHP le 25 octobre pour exécuter du code sur le serveur du défi public Steal My Bitcoin. Killa a extrait des identifiants de wallet cachés et a remporté une récompense en bitcoin. L'opérateur du défi, James Pavur, a confirmé la violation et déclaré que les journaux du serveur corroboraient les découvertes de Killa. Toutefois, Pavur avait placé la mauvaise clé privée bitcoin sur le serveur.
La compétition a suivi la divulgation du 21 octobre des vulnérabilités critiques PHP CVE-2026-109618 et CVE-2026-109619. Les chercheurs ont indiqué que ces vulnérabilités pourraient permettre l'exécution de code à distance sur les serveurs affectés. Ces découvertes ont déclenché des alertes urgentes de la part des responsables de la sécurité des cryptomonnaies et des mises à jour logicielles d'urgence. Le défi est devenu un test public de ces avertissements, au milieu des affirmations selon lesquelles l'intelligence artificielle simplifiait l'exploitation de failles de sécurité graves. La résistance apparente du serveur aux attaques a suscité des doutes quant à la facilité avec laquelle les attaquants pourraient exploiter ces vulnérabilités.
Pavur a initialement utilisé le serveur web intégré de PHP pour servir du HTML ordinaire, restreignant l'accès à la fonctionnalité vulnérable. Des chercheurs en cybersécurité ont soutenu que la survie initiale du défi révélait peu sur la possibilité d'exploiter les failles. Pavur a ultérieurement reconnu le problème de configuration. Pavur a déclaré qu'une page PHP accessible avait été ajoutée vers 13:00 UTC le 25 octobre. La violation réussie s'est produite à 15:47:38 UTC, moins de trois heures plus tard.
L'expert en sécurité éthique et cofondateur de Hacktron, Mohan « s1r1us » Pedhapati, a averti que la discussion autour de la compétition pourrait inciter les entreprises à sous-estimer la menace. Pedhapati a argumenté que le défi initial était irréaliste, car un fort trafic a submergé le serveur PHP mono-thread, rendant l'exploitation anormalement difficile. Pedhapati a mis en garde contre le fait que ces conditions ne démontraient pas que les attaquants utilisant des modèles d'IA de pointe auraient du mal dans des circonstances plus favorables. Pedhapati a également averti que considérer un défi mal configuré et non résolu comme une preuve d'une menace exagérée pourrait créer une fausse confiance et retarder les correctifs.
Killa a ensuite publié une preuve de concept sur GitHub décrivant les étapes d'exploitation et une reproduction de laboratoire séparée. Le compte de Killa a enregistré une réponse serveur réussie incluant une clé privée Bitcoin. Toutefois, Killa a reconnu que certains enregistrements de la tentative initiale n'avaient pas été conservés. Les preuves publiées ne démontrent pas qu'un système d'intelligence artificielle autonome a effectué l'attaque. Les preuves ne documentent pas non plus entièrement la manière dont les modèles ont été utilisés lors de la tentative réussie.
Un chercheur exploite une faille critique PHP dans un défi de piratage de bitcoin
CryptoSlatePartager
Résumé
Actualités sur le bitcoin : Un chercheur connu sous le nom de Killa a exploité une faille critique PHP le 25 octobre pour exécuter du code sur le serveur du défi public Steal My Bitcoin, extrayant des identifiants de wallet cachés et réclamant une récompense en bitcoin. L'opérateur du défi, James Pavur, a confirmé la violation, mais a indiqué que le serveur contenait la mauvaise clé privée bitcoin. Cet incident a suivi la divulgation le 21 octobre des vulnérabilités PHP CVE-2026-109618 et CVE-2026-109619, qui pourraient permettre une exécution de code à distance. Killa a publié une preuve de concept sur GitHub, mais aucune preuve ne confirme si un système d'IA a été utilisé dans l'attaque.
Source:Afficher l'original
Clause de non-responsabilité : les informations sur cette page peuvent avoir été obtenues auprès de tiers et ne reflètent pas nécessairement les points de vue ou opinions de KuCoin. Ce contenu est fourni à titre informatif uniquement, sans aucune représentation ou garantie d’aucune sorte, et ne doit pas être interprété comme un conseil en investissement. KuCoin ne sera pas responsable des erreurs ou omissions, ni des résultats résultant de l’utilisation de ces informations.
Les investissements dans les actifs numériques peuvent être risqués. Veuillez évaluer soigneusement les risques d’un produit et votre tolérance au risque en fonction de votre propre situation financière. Pour plus d’informations, veuillez consulter nos conditions d’utilisation et divulgation des risques.