Một nhà nghiên cứu nổi tiếng trên mạng với tên Killa đã khai thác lỗ hổng PHP nghiêm trọng vào ngày 25 tháng 10 để thực thi mã trên máy chủ thách thức Steal My Bitcoin công khai. Killa đã trích xuất thông tin xác thực ví bị ẩn và giành được phần thưởng bitcoin. Người vận hành thách thức James Pavur xác nhận vụ xâm nhập và cho biết nhật ký máy chủ xác nhận các phát hiện của Killa. Tuy nhiên, Pavur đã đặt khóa riêng bitcoin sai trên máy chủ.
Cuộc thi diễn ra sau khi công bố vào ngày 21 tháng 10 các lỗ hổng PHP nghiêm trọng CVE-2026-109618 và CVE-2026-109619. Các nhà nghiên cứu cho biết các lỗ hổng này có thể cho phép thực thi mã từ xa trên các máy chủ bị ảnh hưởng. Những phát hiện này đã gây ra các cảnh báo khẩn cấp từ các giám đốc an ninh tiền điện tử và các bản cập nhật phần mềm khẩn cấp. Thử thách trở thành một bài kiểm tra công khai đối với những cảnh báo này, giữa các tuyên bố rằng trí tuệ nhân tạo đang đơn giản hóa việc khai thác các lỗ hổng bảo mật nghiêm trọng. Sự kháng cự rõ ràng của máy chủ trước các cuộc tấn công đã làm dấy lên nghi ngờ về mức độ dễ dàng mà kẻ tấn công có thể khai thác các lỗ hổng này.
Pavur ban đầu sử dụng máy chủ web tích hợp của PHP để phục vụ HTML thông thường, hạn chế truy cập vào các chức năng dễ bị tổn thương. Các chuyên gia an ninh mạng cho rằng việc thách thức ban đầu tồn tại không tiết lộ nhiều về việc các lỗ hổng này có thể bị khai thác hay không. Sau đó, Pavur đã thừa nhận vấn đề cấu hình. Pavur cho biết một trang PHP có thể truy cập đã được thêm vào khoảng 13:00 UTC ngày 25 tháng Mười. Cuộc xâm nhập thành công xảy ra lúc 15:47:38 UTC, ít hơn ba giờ sau đó.
Mohan "s1r1us" Pedhapati, chuyên gia bảo mật đạo đức và đồng sáng lập Hacktron, cảnh báo rằng việc thảo luận về cuộc thi có thể khiến các doanh nghiệp đánh giá thấp mối đe dọa. Pedhapati cho rằng thách thức ban đầu là không thực tế vì lưu lượng truy cập lớn đã làm quá tải máy chủ PHP đơn luồng, khiến việc khai thác trở nên khó khăn bất thường. Pedhapati cảnh báo rằng những điều kiện này không chứng minh được rằng các kẻ tấn công sử dụng các mô hình AI tiên tiến sẽ gặp khó khăn trong các hoàn cảnh thuận lợi hơn. Pedhapati cũng cảnh báo rằng việc coi một thách thức được cấu hình kém và chưa được giải quyết là bằng chứng cho thấy mối đe dọa bị thổi phồng có thể tạo ra sự tự tin sai lầm và làm chậm việc vá lỗ hổng.
Killa sau đó đã đăng một bản chứng minh khái niệm trên GitHub mô tả các bước khai thác và một bản sao lại trong phòng thí nghiệm riêng. Tài khoản của Killa ghi nhận một phản hồi máy chủ thành công bao gồm khóa riêng bitcoin. Tuy nhiên, Killa thừa nhận rằng một số bản ghi từ nỗ lực ban đầu đã không được lưu giữ. Bằng chứng được công bố không chứng minh được rằng một hệ thống AI tự chủ đã thực hiện cuộc tấn công. Bằng chứng cũng không ghi lại đầy đủ cách các mô hình được sử dụng trong nỗ lực thành công.
Nghiên cứu viên khai thác lỗ hổng PHP nghiêm trọng trong thử thách hack bitcoin
CryptoSlateChia sẻ
Tóm tắt
Thông tin mới nhất về bitcoin: Một nhà nghiên cứu có tên Killa đã khai thác lỗ hổng PHP nghiêm trọng vào ngày 25 tháng 10 để thực thi mã trên máy chủ thử thách Steal My Bitcoin công khai, trích xuất thông tin xác thực ví ẩn và nhận phần thưởng bitcoin. Người vận hành thử thách, James Pavur, đã xác nhận vụ xâm nhập nhưng lưu ý rằng máy chủ đang lưu trữ khóa riêng bitcoin sai. Sự việc xảy ra sau khi các lỗ hổng PHP CVE-2026-109618 và CVE-2026-109619 được công bố vào ngày 21 tháng 10, có thể cho phép thực thi mã từ xa. Killa đã công bố proof of concept trên GitHub, nhưng không có bằng chứng nào xác nhận liệu hệ thống AI có được sử dụng trong cuộc tấn công hay không.
Nguồn:Hiển thị bản gốc
Tuyên bố miễn trừ trách nhiệm: Thông tin trên trang này có thể được lấy từ bên thứ ba và không nhất thiết phản ánh quan điểm hoặc ý kiến của KuCoin. Nội dung này chỉ được cung cấp cho mục đích thông tin chung, không có bất kỳ đại diện hay bảo đảm nào dưới bất kỳ hình thức nào và cũng không được hiểu là lời khuyên tài chính hay đầu tư. KuCoin sẽ không chịu trách nhiệm về bất kỳ sai sót hoặc thiếu sót nào hoặc về bất kỳ kết quả nào phát sinh từ việc sử dụng thông tin này.
Việc đầu tư vào tài sản kỹ thuật số có thể tiềm ẩn nhiều rủi ro. Vui lòng đánh giá cẩn thận rủi ro của sản phẩm và khả năng chấp nhận rủi ro của bạn dựa trên hoàn cảnh tài chính của chính bạn. Để biết thêm thông tin, vui lòng tham khảo Điều khoản sử dụng và Tiết lộ rủi ro của chúng tôi.