Seorang peneliti yang dikenal secara daring sebagai Killa mengeksploitasi kerentanan PHP yang kritis pada 25 Oktober untuk menjalankan kode pada server tantangan publik Steal My Bitcoin. Killa mengekstraksi kredensial dompet yang disembunyikan dan memenangkan hadiah bitcoin. Operator tantangan James Pavur mengonfirmasi pelanggaran tersebut dan mengatakan log server mendukung temuan Killa. Namun, Pavur telah menempatkan kunci pribadi bitcoin yang salah di server.
Kompetisi tersebut mengikuti pengungkapan kerentanan PHP kritis CVE-2026-109618 dan CVE-2026-109619 pada 21 Oktober. Para peneliti mengatakan kerentanan tersebut dapat memungkinkan eksekusi kode jarak jauh pada server yang terdampak. Temuan ini memicu peringatan mendesak dari para eksekutif keamanan mata uang kripto dan pembaruan perangkat lunak darurat. Tantangan ini menjadi ujian publik terhadap peringatan-peringatan tersebut di tengah klaim bahwa kecerdasan buatan menyederhanakan eksploitasi celah keamanan serius. Ketahanan server yang tampak terhadap serangan mendorong keraguan tentang seberapa mudah penyerang dapat mengeksploitasi kerentanan tersebut.
Pavur awalnya menggunakan server web bawaan PHP untuk menyajikan HTML biasa, membatasi akses ke fungsionalitas yang rentan. Para peneliti keamanan siber berpendapat bahwa kelangsungan hidup tantangan awal tidak banyak mengungkapkan apakah kelemahan tersebut dapat dieksploitasi. Pavur kemudian mengakui masalah konfigurasi tersebut. Pavur mengatakan sebuah halaman PHP yang dapat diakses ditambahkan sekitar pukul 13:00 UTC pada 25 Oktober. Pelanggaran berhasil terjadi pada 15:47:38 UTC, kurang dari tiga jam kemudian.
Hacker etis dan co-founder Hacktron, Mohan "s1r1us" Pedhapati, memperingatkan bahwa diskusi mengenai kompetisi ini bisa mendorong bisnis untuk meremehkan ancaman. Pedhapati berargumen bahwa tantangan awal tidak realistis karena lalu lintas tinggi membebani server PHP single-threaded, sehingga eksploitasi menjadi sangat sulit. Pedhapati memperingatkan bahwa kondisi tersebut tidak menunjukkan bahwa penyerang yang menggunakan model AI terkini akan kesulitan dalam keadaan yang lebih menguntungkan. Pedhapati juga memperingatkan bahwa memperlakukan tantangan yang salah konfigurasi dan belum terpecahkan sebagai bukti ancaman yang dilebih-lebihkan bisa menciptakan kepercayaan palsu dan menunda perbaikan.
Killa kemudian memposting bukti konsep di GitHub yang menjelaskan langkah-langkah eksploitasi dan replikasi laboratorium terpisah. Akun Killa mencatat respons server yang sukses yang mencakup kunci pribadi Bitcoin. Namun, Killa mengakui bahwa beberapa catatan dari upaya awal tidak disimpan. Bukti yang dipublikasikan tidak menunjukkan bahwa sistem AI otonom menyelesaikan serangan tersebut. Bukti tersebut juga tidak mendokumentasikan sepenuhnya bagaimana model digunakan dalam upaya yang berhasil.
Peneliti Mengeksploitasi Kelemahan PHP Kritis dalam Tantangan Peretasan Bitcoin
CryptoSlateBagikan
Ringkasan
Berita terbaru bitcoin: Seorang peneliti yang dikenal sebagai Killa mengeksploitasi kerentanan PHP kritis pada 25 Oktober untuk menjalankan kode pada server tantangan public Steal My Bitcoin, mengekstrak kredensial dompet tersembunyi, dan mengklaim hadiah bitcoin. Operator tantangan, James Pavur, mengonfirmasi pelanggaran tersebut tetapi mencatat bahwa server tersebut menyimpan kunci pribadi bitcoin yang salah. Kejadian ini mengikuti pengungkapan kerentanan PHP CVE-2026-109618 dan CVE-2026-109619 pada 21 Oktober, yang dapat memungkinkan eksekusi kode jarak jauh. Killa mempublikasikan bukti konsep di GitHub, tetapi tidak ada bukti yang mengonfirmasi apakah sistem AI digunakan dalam serangan tersebut.
Sumber:Tampilkan versi asli
Penafian: Informasi pada halaman ini mungkin telah diperoleh dari pihak ketiga dan tidak mencerminkan pandangan atau opini KuCoin. Konten ini disediakan hanya untuk tujuan informasi umum, tanpa representasi atau jaminan apa pun, dan tidak dapat ditafsirkan sebagai saran keuangan atau investasi. KuCoin tidak bertanggung jawab terhadap segala kesalahan atau kelalaian, atau hasil apa pun yang keluar dari penggunaan informasi ini.
Berinvestasi di aset digital dapat berisiko. Harap mengevaluasi risiko produk dan toleransi risiko Anda secara cermat berdasarkan situasi keuangan Anda sendiri. Untuk informasi lebih lanjut, silakan lihat Ketentuan Penggunaan dan Pengungkapan Risiko.