शोधकर्ता बिटकॉइन हैकिंग चैलेंज में क्रिटिकल PHP दोष का दुरुपयोग करता है

एक शोधकर्ता, जिनका ऑनलाइन नाम Killa है, ने 25 अक्टूबर को पब्लिक Steal My Bitcoin चैलेंज सर्वर पर एक महत्वपूर्ण PHP दोष का दुरुपयोग करके कोड निष्पादित किया। Killa ने एक छिपी हुई वॉलेट पार्ग्रति प्राप्त की और एक बिटकॉइन बोनटी जीती। चैलेंज संचालक जेम्स पवुर ने इस ब्रीच की पुष्टि की और कहा कि सर्वर लॉग्स ने Killa की खोजों की पुष्टि की। हालाँकि, पवुर ने सर्वर पर गलत बिटकॉइन प्राइवेट की रखी थी।

प्रतियोगिता अक्टूबर 21 को गंभीर PHP वल्नरेबिलिटी CVE-2026-109618 और CVE-2026-109619 के खुलासे के बाद हुई। शोधकर्ताओं ने कहा कि ये वल्नरेबिलिटी प्रभावित सर्वर पर रिमोट कोड निष्पादन को सक्षम बना सकती हैं। इन खोजों ने क्रिप्टोकरेंसी सुरक्षा नेताओं की तत्काल चेतावनियाँ और आपातकालीन सॉफ्टवेयर अपडेट्स को जन्म दिया। चुनौती उन चेतावनियों का एक सार्वजनिक परीक्षण बन गई, जबकि दावे किए जा रहे थे कि कृत्रिम बुद्धिमत्ता गंभीर सुरक्षा दुर्बलताओं के दुरुपयोग को सरल बना रही है। सर्वर की हमलों के प्रति स्पष्ट प्रतिरोधकता ने इस बात के प्रति संदेह पैदा किया कि हमलावर कितनी आसानी से इन वल्नरेबिलिटी का दुरुपयोग कर सकते हैं।

पावुर ने मूल रूप से सामान्य HTML प्रदान करने के लिए PHP के अंतर्निहित वेब सर्वर का उपयोग किया, जिससे भेद्य कार्यक्षमता तक पहुंच को सीमित किया गया। साइबर सुरक्षा शोधकर्ताओं ने तर्क दिया कि चुनौती की प्रारंभिक अवधि से यह पता नहीं चला कि दोषों का दुरुपयोग किया जा सकता है या नहीं। पावुर ने बाद में कॉन्फ़िगरेशन समस्या को मान लिया। पावुर ने कहा कि 25 अक्टूबर को लगभग 13:00 UTC पर एक पहुंचने योग्य PHP पृष्ठ जोड़ा गया। सफल अवैध पहुंच 15:47:38 UTC को हुई, जो कम से कम तीन घंटे बाद।

नैतिक हैकर और हैकट्रॉन के सह-संस्थापक मोहन "s1r1us" पेधापति ने चेतावनी दी कि प्रतियोगिता के बारे में चर्चा से व्यवसाय खतरे को कम महसूस कर सकते हैं। पेधापति ने तर्क दिया कि प्रारंभिक चुनौती अवास्तविक थी क्योंकि भारी ट्रैफिक ने सिंगल-थ्रेडेड PHP सर्वर को ओवरलोड कर दिया, जिससे दुरुपयोग असामान्य रूप से कठिन हो गया। पेधापति ने सावधान किया कि ये परिस्थितियाँ यह दर्शाती हैं कि सीमांत AI मॉडल्स का उपयोग करने वाले हमलावर अधिक अनुकूल परिस्थितियों में संघर्ष करेंगे। पेधापति ने यह भी चेतावनी दी कि एक खराब कॉन्फ़िगर्ड, हल न हुए चुनौती को एक अतिशयोक्तिपूर्ण खतरे के सबूत के रूप में मानना गलत सुरक्षा का भाव पैदा कर सकता है और पैचिंग में देरी कर सकता है।

किल्ला ने बाद में गिटहब पर एक प्रूफ ऑफ कॉन्सेप्ट पोस्ट किया, जिसमें दुरुपयोग के चरणों और एक अलग प्रयोगशाला पुनर्निर्माण का वर्णन किया गया। किल्ला के खाते में एक सफल सर्वर प्रतिक्रिया दर्ज की गई, जिसमें एक बिटकॉइन प्राइवेट की शामिल थी। हालाँकि, किल्ला ने स्वीकार किया कि मूल प्रयास से कुछ रिकॉर्ड संरक्षित नहीं किए गए थे। प्रकाशित साक्ष्य यह दर्शाता है कि स्वतंत्र AI प्रणाली ने हमला पूरा किया, और साक्ष्य में सफल प्रयास में मॉडलों का उपयोग कैसे किया गया, वह पूरी तरह से दस्तावेज़ीकृत नहीं है।