新聞 
幣種資訊 
關於我們 
一名資安研究人員在公開駭客實驗中入侵PHP伺服器，取出其中存放的比特幣(BTC)私鑰。攻擊者在管理員開放可存取的PHP頁面後約2小時47分鐘成功執行程式碼，但取出的私鑰與獎金錢包的金鑰不同，因此比特幣未遭竊。
CryptoSlate報導，網名為Killa的資安研究人員在「Steal My Bitcoin」實驗中成功入侵伺服器，實驗管理人詹姆斯・帕維爾(James Pavur)則透過伺服器日誌確認遭入侵。
這項實驗旨在確認21日公開的兩項PHP漏洞（CVE-2026-109618、CVE-2026-109619）能否在實際伺服器上遭到利用。受影響的伺服器可能允許外部人士遠端執行程式碼，因此引發資安疑慮。
實驗初期的設定讓攻擊者難以存取有漏洞的功能。帕維爾最初只透過PHP內建網頁伺服器提供一般HTML頁面，且大量連線請求也使伺服器不穩定。資安研究人員指出，僅靠這種設定難以評估漏洞風險。
帕維爾於25日晚間10時左右新增可供外部存取的PHP頁面。Killa在26日凌晨0時47分38秒成功於伺服器執行程式碼。也就是說，從開放攻擊所需功能起算，約2小時47分鐘後便成功入侵；這並非從整場實驗開始時計算。
事後，Killa在GitHub公開攻擊重現文件，記錄如何從伺服器回應取得私鑰，以及在獨立實驗環境重現攻擊的結果。Killa表示，實際攻擊期間交換的完整請求內容與回應標頭並未全部保留。
這次實驗雖成功取出私鑰，卻未能轉走獎金錢包中的比特幣，原因是帕維爾存放在伺服器上的金鑰，並非存有獎金地址的私鑰。帕維爾承認實驗成功，並另外支付價值約2,000美元（約265萬韓元）的比特幣。
此前報導指出，兩項PHP漏洞可能讓攻擊者在未經驗證的情況下於伺服器遠端執行程式碼。遠端程式碼執行是指外部攻擊者能在伺服器執行指令，伺服器存放的資料也可能因此成為攻擊目標。
私鑰是控制比特幣錢包資金的認證資訊。本次事件是在特定PHP伺服器變更設定後，成功入侵並取出私鑰的案例。僅憑目前公開的紀錄，無法判斷攻擊是否由人工智慧(AI)自主執行。
留言 0