ریسرچر نے بٹ کوائن ہیکنگ چیلنج میں ایک اہم PHP خامی کا استعمال کیا

ایک ریسرچر جو آن لائن کلہا کے نام سے جانا جاتا ہے، نے 25 اکتوبر کو عوامی Steal My Bitcoin چیلنج سرور پر ایک اہم PHP خامی کا استعمال کرتے ہوئے کوڈ اجراء کیا۔ کلہا نے ایک پوشیدہ والٹ کریڈنشل نکال لیا اور بٹ کوائن بونٹی جیت لی۔ چیلنج آپریٹر جیمز پاوور نے بریچ کی تصدیق کی اور کہا کہ سرور لاگس نے کلہا کے نتائج کی تائید کی۔ تاہم، پاوور نے سرور پر غلط بٹ کوائن پرائیوٹ کلید رکھ دی تھی۔

مقابلہ اکتوبر 21 کو متعلقہ PHP کے اہم خامیوں CVE-2026-109618 اور CVE-2026-109619 کے اعلان کے بعد شروع ہوا۔ تحقیق کاروں نے کہا کہ یہ خامیاں متاثرہ سرورز پر ریموٹ کوڈ ایکزیکیشن کو ممکن بناسکتی ہیں۔ ان دریافتوں نے کرپٹو کرنسی سیکورٹی ایگزیکٹو کی طرف سے فوری انتباہات اور فوری سافٹ ویئر اپڈیٹس کو جنم دیا۔ چیلنج اس بات کا عوامی ٹیسٹ بن گیا کہ آیا صنعتی ذہانت سنجیدہ سیکورٹی خامیوں کے استعمال کو آسان بن رہی ہے۔ سرور کا ظاہری طور پر حملوں کے خلاف مزاحمت کرنا اس بات پر شکوک پیدا کر دیا کہ حملہ آوروں کے لیے ان خامیوں کا استعمال کتنا آسان ہو سکتا ہے۔

پاور نے اصل میں عام HTML فراہم کرنے کے لیے PHP کے اندر موجود ویب سرور کا استعمال کیا، جس سے زیادہ خطرناک فنکشنلٹی تک رسائی پر پابندی عائد کر دی گئی۔ سائبر سیکیورٹی تحقیق کاروں نے دلیل دی کہ چیلنج کی ابتدائی زندگی کا مطلب یہ نہیں تھا کہ خامیوں کا استعمال ممکن ہے۔ پاور نے بعد میں اس کنفیگریشن کے مسئلے کو تسلیم کیا۔ پاور نے کہا کہ 25 اکتوبر کو تقریباً 13:00 UTC پر ایک رسائی یافتہ PHP صفحہ شامل کر دیا گیا۔ کامیاب حملہ 15:47:38 UTC پر ہوا، جو تین گھنٹوں سے کم وقت کے بعد تھا۔

ایتھیکل ہیکر اور ہیکٹرون کے مانیق مohan "s1r1us" pedhapati نے چیلنج کے بارے میں بحث کے اس بات کی تنبیہ کی کہ یہ کاروباروں کو خطرے کو کم سمجھنے کی ترغیب دے سکتی ہے۔ پیدھاپتی نے دلیل دی کہ ابتدائی چیلنج غیر واقعی تھا کیونکہ زبردست ٹریفک نے سینگل تھریڈ PHP سرور کو دبادیا، جس سے استعمال مشکل ہو گیا۔ پیدھاپتی نے اس بات کی تنبیہ کی کہ یہ حالات یہ ثابت نہیں کرتے کہ فرانتیر AI ماڈلز استعمال کرنے والے حملہ آور اگلے موزوں حالات میں پریشان ہوں گے۔ پیدھاپتی نے یہ بھی خبردار کیا کہ ایک خراب سیٹ اپ، حل نہ ہونے والے چیلنج کو اضافی خطرے کا ثبوت سمجھنا جھوٹا اعتماد پیدا کر سکتا ہے اور پچنگ میں تاخیر ہو سکتی ہے۔

کلہا نے بعد میں گٹھب پر ایک ثبوت کا تصور شائع کیا جس میں استعمال کیے جانے والے اقدامات اور الگ لیبارٹری میں دوبارہ تجربہ درج تھا۔ کلہا کے اکاؤنٹ پر ایک کامیاب سرور ریسپانس ریکارڈ ہوا جس میں بٹ کوائن کی پرائیویٹ کلید شامل تھی۔ تاہم، کلہا نے تسلیم کیا کہ اصل کوشش سے کچھ ریکارڈز محفوظ نہیں رکھے گئے تھے۔ شائع شدہ ثبوت یہ نہیں دکھاتا کہ ایک خودمختار AI سسٹم نے حملہ مکمل کیا۔ ثبوت میں یہ بھی مکمل طور پر دستاویز نہیں ہے کہ کامیاب کوشش میں ماڈلز کو کیسے استعمال کیا گیا۔