Seorang penyelidik yang dikenali secara dalam talian sebagai Killa mengeksploitasi kelemahan PHP yang kritikal pada 25 Oktober untuk menjalankan kod pada pelayan cabaran public Steal My Bitcoin. Killa mengekstrak kredensial dompet yang disembunyikan dan memenangi hadiah bitcoin. Pengendali cabaran James Pavur mengesahkan pelanggaran tersebut dan mengatakan log pelayan menyokong dapatan Killa. Namun, Pavur telah meletakkan kunci peribadi bitcoin yang salah di pelayan.
Kompetisi ini berikutan pengumuman pada 21 Oktober mengenai kelemahan PHP kritikal CVE-2026-109618 dan CVE-2026-109619. Para penyelidik mengatakan kelemahan tersebut boleh membolehkan pelaksanaan kod jarak jauh pada pelayan yang terjejas. Penemuan ini memicu amaran segera daripada eksekutif keselamatan mata wang kripto dan kemas kini perisian kecemasan. Cabaran ini menjadi ujian awam terhadap amaran-amaran tersebut, sambil ada yang mengklaim bahawa kecerdasan buatan mempermudah pemanfaatan kelemahan keselamatan serius. Ketahanan pelayan yang jelas terhadap serangan mendorong keraguan mengenai sejauh mana penyerang boleh memanfaatkan kelemahan tersebut.
Pavur awalnya menggunakan pelayan web bawaan PHP untuk menghantar HTML biasa, membataskan akses kepada fungsi yang rentan. Penyelidik keselamatan siber berhujah bahawa kelangsungan awal cabaran itu menunjukkan sedikit tentang sama ada kelemahan itu boleh dieksploitasi. Pavur kemudian mengakui masalah konfigurasi tersebut. Pavur mengatakan satu halaman PHP yang boleh diakses ditambahkan pada sekitar 13:00 UTC pada 25 Oktober. Pencerobohan berjaya berlaku pada 15:47:38 UTC, kurang daripada tiga jam kemudian.
Pengganas etika dan pengetua bersama Hacktron, Mohan "s1r1us" Pedhapati, memperingatkan bahawa perbincangan mengenai pertandingan itu boleh mendorong perniagaan untuk meremehkan ancaman tersebut. Pedhapati berhujah bahawa cabaran awal itu tidak realistik kerana trafik yang berat membanjiri pelayan PHP satu-talian, menjadikan eksploitasi sangat sukar. Pedhapati memperingatkan bahawa keadaan tersebut tidak menunjukkan bahawa penyerang yang menggunakan model AI terkini akan mengalami kesukaran di bawah keadaan yang lebih menguntungkan. Pedhapati juga memperingatkan bahawa memperlakukan cabaran yang salah konfigurasi dan tidak diselesaikan sebagai bukti ancaman yang dilebih-lebihkan boleh mencipta keyakinan palsu dan menunda pembaikian.
Killa kemudian memuatkan bukti konsep di GitHub yang menggambarkan langkah-langkah eksploitasi dan reproduksi makmal yang berasingan. Akaun Killa merekodkan respons pelayan yang berjaya yang termasuk kunci peribadi bitcoin. Namun, Killa mengakui bahawa beberapa rekod daripada cubaan asal tidak diselamatkan. Bukti yang diterbitkan tidak menunjukkan bahawa sistem AI autonomi menyelesaikan serangan tersebut. Bukti tersebut juga tidak mendokumenkan sepenuhnya bagaimana model digunakan dalam cubaan yang berjaya.
Penyelidik Mengeksploitasi Kelemahan PHP Kritikal dalam Cabaran Perompakan Bitcoin
CryptoSlateKongsi
Ringkasan
Berita terkini bitcoin: Seorang penyelidik dikenali sebagai Killa mengeksploitasi kelemahan PHP yang kritikal pada 25 Oktober untuk menjalankan kod di pelayan cabaran public Steal My Bitcoin, mengekstrak kredensial dompet tersembunyi dan mengklaim hadiah bitcoin. Pengendali cabaran, James Pavur, mengesahkan pelanggaran tersebut tetapi menyatakan pelayan tersebut memegang kunci peribadi bitcoin yang salah. Kejadian ini mengikuti pengumuman kelemahan PHP CVE-2026-109618 dan CVE-2026-109619 pada 21 Oktober, yang boleh membolehkan pelaksanaan kod jarak jauh. Killa menerbitkan bukti konsep di GitHub, tetapi tiada bukti yang mengesahkan sama ada sistem AI digunakan dalam serangan tersebut.
Sumber:Tunjukkan artikel asal
Penafian: Maklumat yang terdapat pada halaman ini mungkin telah diperoleh daripada pihak ketiga dan tidak semestinya menggambarkan pandangan atau pendapat KuCoin. Kandungan ini adalah disediakan bagi tujuan maklumat umum sahaja, tanpa sebarang perwakilan atau waranti dalam apa jua bentuk, dan juga tidak boleh ditafsirkan sebagai nasihat kewangan atau pelaburan. KuCoin tidak akan bertanggungjawab untuk sebarang kesilapan atau pengabaian, atau untuk sebarang akibat yang terhasil daripada penggunaan maklumat ini.
Pelaburan dalam aset digital boleh membawa risiko. Sila menilai risiko produk dan toleransi risiko anda dengan teliti berdasarkan keadaan kewangan anda sendiri. Untuk maklumat lanjut, sila rujuk kepada Terma Penggunaan dan Pendedahan Risiko kami.