„Bitcoin“ įsilaužimo iššūkis galiausiai atkrenta, nes tyrėjas įrodė, kad esminis PHP trūkumas yra išnaudojamas
Po to, kai iššūkis sukėlė abejonių dėl kritinių programinės įrangos spragų, įsilaužėlis įsilaužė į viešąjį PHP serverį, kad laimėtų „Bitcoin“ premiją.
Tyrėjas, internete identifikuotas kaip Killa, sėkmingai įvykdė kodą Pavogti mano Bitcoin iššūkio serveris spalio 25 d., išgaunant paslėptą piniginės kredencialą eksperimento metu, kuris atkreipė dėmesį į teiginius, kad dirbtinis intelektas leidžia lengviau išnaudoti rimtus saugumo trūkumus.
Iššūkių operatorius Jamesas Pavuras patvirtino sėkmingą ataką, sakydamas, kad serverio žurnalai patvirtino tyrėjo išvadas.
Tačiau rezultatas buvo pasiektas po to, kai problemos dėl pradinės iššūkio konfigūracijos privertė saugumo ekspertus suabejoti, ar jis prasmingai išbandė pagrindinį pažeidžiamumą.
Konkursas įvyko po to, kai spalio 21 d. buvo atskleistos dvi svarbios PHP spragos – CVE-2026-109618 ir CVE-2026-109619, kurios, pasak mokslininkų, gali leisti užpuolikams nuotoliniu būdu vykdyti kodą paveiktuose serveriuose.
Šie atradimai paskatino skubius įspėjimus iš kriptovaliutų saugumo vadovų ir skubių programinės įrangos atnaujinimų.
Tada „Bitcoin“ iššūkis tapo viešu šių įspėjimų išbandymu, o akivaizdus jo atsparumas atakoms paskatino skepticizmą, kaip lengvai galima išnaudoti pažeidžiamumą.
Klaidingas Bitcoin iššūkis patenka per kelias valandas po serverio pakeitimų
Iš pradžių Pavur sukonfigūravo iššūkį, kad įprastą HTML pateiktų per PHP integruotą žiniatinklio serverį, apribodamas užpuolikų galimybes pasiekti pažeidžiamas funkcijas.
Sąranka sulaukė kritikos iš kibernetinio saugumo tyrinėtojų, kurie teigė, kad ankstyvas jos išlikimas mažai įrodė, kad trūkumai gali būti naudojami.
Etiškas įsilaužėlis ir „Hacktron“ įkūrėjas Mohanas „s1r1us“ Pedhapati perspėjo, kad diskusijos apie konkurenciją gali paskatinti įmones neįvertinti saugumo grėsmės.
„Tai labai pavojingas pasakojimas. Tiesiog pažiūrėkite į sužadėtuves”, – sakė Pedhapati.
Jis teigė, kad iššūkis buvo nerealus ankstyvomis valandomis, kai intensyvus srautas užvaldė vienos gijos PHP serverį ir neįprastai apsunkino sėkmingą išnaudojimą.
Pedhapati taip pat perspėjo, kad šios problemos neįrodė, kad užpuolikai, turintys pažangiausius AI modelius, stengsis išnaudoti tuos pačius pažeidžiamumus palankesnėmis sąlygomis.
Jis pareiškė:
„Nemanau, kad aiškiai liepiate žmonėms netaisyti. Tačiau naudojant neišspręstą, blogai sukonfigūruotą iššūkį kaip įrodymą, kad pažeidžiamumas yra perdėtas, galite suteikti žmonėms klaidingą pasitikėjimą ir priversti juos atidėti pataisymą.
Vėliau Pavuras pripažino konfigūracijos problemą ir patvirtino, kad spalio 25 d. apie 13:00 UTC pridėjo prieinamą PHP puslapį.
Sėkminga ataka įvyko 15:47:38 UTC, praėjus mažiau nei trims valandoms po pasikeitimo.
Laimėjęs mokslininkas vėliau GitHub paskelbė koncepcijos įrodymą, aprašydamas išnaudojimo procesą ir atskirą laboratorinę atakos atkūrimą.
Sąskaitoje buvo užfiksuotas sėkmingas serverio atsakymas, kuriame buvo „Bitcoin“ privatus raktas, nors tyrėjas pripažino, kad iš pirminio bandymo išsaugoti įrašai yra spragų.
Paskelbti įrodymai taip pat nepatvirtina, kad autonominė AI sistema užbaigė ataką, arba nepateikia išsamaus įrašo, kaip modeliai buvo naudojami sėkmingo bandymo metu.c
