ウェブサイトがハッカーにビットコイン盗みを挑発、時計の針は刻々と進む

誰も成し遂げられない2,000ドルのビットコイン強奪

「Steal My Bitcoin」へようこそ。ここでは、サイバーセキュリティの常識がひっくり返されています。このウェブサイトはハッカーを締め出すのではなく、むしろ中へ招き入れ、ビットコインの報奨金を提供し、それを奪うよう挑発しています。 ミッションは驚くほど単純です。意図的に脆弱にされたPHP環境を悪用し、隠されたビットコインの秘密鍵を取得してウォレットを空にすること。最初に成功したハッカーが賞金を手に入れます。

賞金は当初500ドル程度でしたが、寄付によって2,000ドル（約0.025 BTC）近くまで増えました。2026年10月25日深夜時点で、ウェブサイトが公開されてから17時間以上が経過していますが、ウォレットの資金は手つかずのままであると報じられています。 ただし、ルールが設けられています。参加者は攻撃対象をWebアプリケーションとPHPコンテナに限定しなければなりません。基盤となるホストへの攻撃、インフラの妨害、サーバーへの過負荷攻撃は禁止されています。すべての活動はログに記録されます。

2つの重大なPHPの脆弱性が予期せぬ壁に直面

このチャレンジではPHP 8.4.26が対象として提示されています。このバージョンは「PHP2Shell」と総称される2つの重大なセキュリティ脆弱性の影響を受けます。両脆弱性の深刻度スコアは9.2で、緊急パッチは10月21日に公開されています。

これらの脆弱性（CVE-2026-109618およびCVE-2026-109619）はメモリ管理の不具合に起因し、リモートコード実行を可能にする恐れがあります。特定の構成下では、攻撃者が認証なしでコマンドを実行できる可能性があります。しかし、ここから話が奇妙な展開を見せます。

この問題を調査したある人物は、その構成が実際に悪用可能な攻撃対象領域をさらしているのかどうかを公に疑問視しました。この人物は、HTTPレスポンスヘッダーからnginxとPHP 8.4.26を特定し、PHP 8.2以降のフィンガープリントを独自に確認した上で、サーバーの挙動をローカルのテスト環境と比較しました。

当初はnginxとPHP-FPMまたはApacheの組み合わせを想定していましたが、分析の結果、予想外の結果が示されました。最も一致していたのは、nginxがリクエストをPHPの組み込みコマンドラインWebサーバーに転送しているケースでした。

ビットコイン報奨金は「不可能」な挑戦なのか？

この分析は、ウェブサイトのエントリポイントに関して、さらに挑発的な可能性を浮き彫りにしました。そのレスポンスは、index.phpスクリプトを実行するのではなく、PHPの組み込みサーバーが静的なindex.htmlファイルを配信しているものと一致していました。もしその解釈が正しければ、公表されている脆弱性は、チャレンジで許可されている攻撃対象領域を通じては到達できない可能性があります。

もしその解釈が正しければ、コンテストの性質は根本的に変わります。ハッカーたちは必ずしも2つの重大なバグの悪用に失敗しているわけではなく、必要な条件が決して満たされない環境を攻撃している可能性もあるのです。調査を行った人物は、このチャレンジが誠実に行われているのか疑問を呈しつつも、調査結果が誤っている可能性を認め、訂正を歓迎しました。

重要な点は、レスポンスのフィンガープリントだけではサーバーのアーキテクチャを完全に特定できず、攻撃が不可能なことも証明できないことです。とはいえ、この仮説はいまだ検証されていません。一方、根本にあるPHPの脆弱性は実在しており、影響を受けるバージョンを運用している管理者は引き続きシステムにパッチを適用する必要があります。

現時点では、「Steal My Bitcoin」はますます興味深い光景を呈しています。公に告知されたビットコインの報奨金、ハッカー志望者たちの群れ、そしてそもそもこのデジタル金庫には侵入可能な扉が存在しないのではないかという疑念が高まっているのです。