Хакер сумел взломать намеренно уязвимый сервер и забрал приз в биткоинах на сумму 2021,22 доллара, воспользовавшись уязвимостями PHP2Shell. Об этом свидетельствует запись на сайте проекта Steal My Bitcoin. Создатель челленджа подтвердил победу 25 октября, завершив эксперимент, который должен был проверить расхожее утверждение: эксплуатировать критические уязвимости в софте становится всё проще.
Источник изображения — tomshardware.com
Челлендж запустили днём ранее и анонсировали через пост на форуме. Изначально в банке лежали биткоины примерно на 502 доллара, но пожертвования подняли сумму до 0.02511679 BTC — те самые 2021,22 доллара на момент победы. Сайт автора зафиксировал успешный захват приза в 15:47 UTC 25 октября, спустя примерно 19,28 часа после старта.
Эксперимент стал продолжением истории с раскрытием CVE-2026-109618 и CVE-2026-109619 — двух критических уязвимостей PHP, которые при определённых условиях позволяют удалённо выполнять код. Обе получили критический уровень опасности, а патчи вышли 21 октября. Однако превратить уязвимость в надёжную атаку куда сложнее, чем просто запустить общедоступный эксплойт против произвольного сервера.
Автор проекта, скрывающийся под ником cloudlandsdev, объяснял, что затея родилась из любопытства: ему было интересно, разберётся ли кто-нибудь, как реально применить этот RCE в PHP. По его словам, команда несколько дней провела в панике, пытаясь понять механику уязвимости, и в итоге решила вынести задачу на публику.
Под названием PHP2Shell скрываются две проблемы в том, как PHP обрабатывает запросы и управляет памятью. При уязвимой конфигурации злоумышленник потенциально может выполнить код с правами учётной записи веб-сервера.
Эксперимент быстро привлёк внимание, но хлынувший трафик сам стал проблемой. В одном из обновлений автор признался, что посетители исчерпывали вычислительные ресурсы сервера почти сразу после каждого расширения мощностей. Ограниченное хранилище не позволяло сохранять все логи, что осложняло документирование успешной попытки.
Победитель под ником KillaBoi опубликовал на GitHub proof-of-concept с описанием атаки на боевой челлендж и локальным тестовым стендом. Эксплойт использовал особенности обработки многокомпонентных загрузок и сессионных данных: выведя PHP-воркер за предел памяти, атакующий оставлял внутреннее состояние процесса в несогласованном виде. Последующие запросы раскрывали содержимое памяти через cookie сессии, выдавая расположение структур памяти PHP и исполняемого кода.
Полученные адреса позволили собрать поддельную структуру данных PHP, которая запускала выполнение команды на этапе очистки. Финальный запрос вернул доказательство того, что команда отработала внутри процесса PHP. Сервер был скомпрометирован, но извлечённый приватный ключ не совпал с заявленным адресом приза. Тем не менее данные блокчейна показывают, что средства затем ушли на адрес bc1qr4…lk7a9, помеченный как холодный кошелёк биржи Kraken.
Раньше восстановление доступа к биткоинам чаще сводилось к реверс-инжинирингу софта, а не к взлому живого сервера. В 2024 году хардварный хакер Джо Гранд, известный как Kingpin, вместе с исследователем по имени Бруно вернули доступ к 43,6 BTC владельцу по имени Майкл, который забыл 20-значный пароль от кошелька.
Исследователи реконструировали старую версию генератора паролей RoboForm и нашли изъян, делавший пароль предсказуемым. Кошелёк разблокировали в ноябре 2023 года, когда биткоины стоили около 1,6 млн долларов; к моменту публикации истории в мае 2024-го их цена выросла почти до 3 млн.
Более свежий случай: весной 2026 года владелец вернул 5 BTC примерно на 400 тысяч долларов после многолетней потери доступа. Пользователь под псевдонимом cprkrn рассказал, что нейросеть Claude от Anthropic помогла найти резервную копию от декабря 2019 года, которую удалось расшифровать паролем, ранее записанным в блокнот. В бэкапе лежали ключи от нужного кошелька.
Новый эпизод разворачивается на фоне давления на команды безопасности, которым спешно приходится патчить установки PHP после публичного раскрытия PHP2Shell. Отдельно обсуждается и сам скандал с разглашением: преждевременная публикация сорвала скоординированный выпуск исправлений. Так или иначе, успешная атака намекает, что эксплуатировать эти уязвимости PHP, возможно, не так уж и сложно.
