Исследователь получил $2000 за взлом уязвимого PHP-сервера в конкурсе Steal My Bitcoin

Пользователь Hacker News под ником cloudlandsdev запустил 24 октября конкурс Steal My Bitcoin. Участникам предложили взломать сервер с уязвимой версией PHP и получить приватный ключ от биткоин-адреса. «Цель — оставить деньги на углу улицы с табличкой „Забери меня!“ и посмотреть, сколько они там пролежат», — объяснил организатор свою задумку.

Изначально призовой фонд составлял около $500 в биткоине, но другие пользователи пополнили адрес, и сумма выросла почти в четыре раза — до 0,025 BTC (~$2021). На сервере стояла версия PHP 8.4.26, выпущенная до исправления критических уязвимостей. Для получения ключа нужно было добиться запуска специальной программы print-flag.

Успешное решение зафиксировали 25 октября в 15:47 UTC — спустя 19 часов 17 минут после старта конкурса. Исследователь KillaBoi опубликовал описание атаки и демонстрационный код на GitHub: по его словам, он выполнил команду внутри процесса PHP и извлёк хранившийся на сервере ключ.

Проверка показала, что ключ открывал доступ не к призовым средствам, а к другой ветви кошелька — организатор признал, что разместил на сервере неверный ключ. Несмотря на это, он засчитал победу и перевёл средства, указав, что серверные журналы подтвердили запуск print-flag, а участник знал точное значение сохранённого ключа.

Пользователь LiveOverflow заметил, что сервер сначала отдавал статический HTML и не использовал уязвимый путь PHP. Организатор подтвердил: PHP-страницу добавили только 25 октября в 13:00 UTC, так что фактически на взлом ушло менее трёх часов.

Эксперимент связан с уязвимостями CVE-2026-109618 и CVE-2026-109619, позволяющими удалённо выполнять код без аутентификации. Разработчики PHP выпустили исправления для веток 8.2–8.5 21 октября. Ранее аналитики SlowMist предупреждали, что такие уязвимости способны угрожать Web3-проектам через сайты, серверы и сервисы подписания транзакций.