เว็บไซต์ท้าทายแฮกเกอร์ให้ขโมยบิตคอยน์ ขณะที่นาฬิกายังคงเดินต่อไป

การปล้นบิตคอยน์ 2,000 ดอลลาร์ที่ไม่มีใครทำได้

ยินดีต้อนรับสู่ Steal My Bitcoin ที่กฎเกณฑ์ทั่วไปด้านความปลอดภัยไซเบอร์ถูกพลิกกลับอย่างสิ้นเชิง แทนที่จะป้องกันไม่ให้แฮกเกอร์เข้ามา เว็บไซต์นี้กลับเชิญชวนให้พวกเขาเข้ามา เสนอรางวัลเป็นบิตคอยน์ และท้าทายให้พวกเขามาเอาไป ภารกิจนี้ฟังดูง่ายจนน่าขบขัน: ใช้ช่องโหว่ในระบบ PHP ที่ถูกตั้งค่าให้เปราะบางโดยเจตนา เพื่อดึงกุญแจส่วนตัว Bitcoin ที่ซ่อนอยู่และถอนเงินในกระเป๋าออกจนหมด ผู้แฮ็กเกอร์คนแรกที่ประสบความสำเร็จจะได้รับเงินไป

รางวัลเริ่มต้นที่ประมาณ $500 ก่อนที่เงินบริจาคจะผลักดันให้เพิ่มขึ้นเป็น $2,000 หรือประมาณ 0.025 BTC จนถึงช่วงค่ำวันที่ 25 ตุลาคม 2026 มีรายงานว่ากระเป๋าเงินยังคงไม่ถูกแตะต้องหลังจากออนไลน์มาแล้วกว่า 17 ชั่วโมง อย่างไรก็ตาม มีกฎเกณฑ์ที่กำหนดไว้ ผู้เข้าร่วมต้องจำกัดการโจมตีไว้เฉพาะแอปพลิเคชันเว็บและคอนเทนเนอร์ PHP เท่านั้น การโจมตีโฮสต์ที่อยู่เบื้องหลัง การก่อกวนโครงสร้างพื้นฐาน หรือการทำให้เซิร์ฟเวอร์ล่มเป็นสิ่งต้องห้าม ทุกกิจกรรมจะถูกบันทึกไว้

สองช่องโหว่สำคัญของ PHP พบกับอุปสรรคที่ไม่คาดคิด

ความท้าทายนี้ใช้ PHP 8.4.26 ซึ่งเป็นเวอร์ชันที่มีช่องโหว่ด้านความปลอดภัยระดับวิกฤตสองจุด ที่ถูกเรียกรวมกันว่า PHP2Shell ทั้งสองช่องโหว่มีคะแนนความรุนแรง 9.2 และแพตช์ฉุกเฉินได้ถูกปล่อยออกมาเมื่อวันที่ 21 ตุลาคม

ช่องโหว่ทั้งสอง ได้แก่ CVE-2026-109618 และ CVE-2026-109619 เกี่ยวข้องกับความล้มเหลวในการจัดการหน่วยความจำ ซึ่งอาจทำให้สามารถดำเนินการรันโค้ดจากระยะไกลได้ ในบางการตั้งค่า ผู้โจมตีอาจรันคำสั่งได้โดยไม่ต้องผ่านการตรวจสอบสิทธิ์ แต่จุดนี้คือจุดที่เรื่องราวเริ่มมีทิศทางที่แปลกประหลาด

มีบุคคลหนึ่งที่ได้ตรวจสอบปัญหานี้และตั้งคำถามต่อสาธารณะว่าการตั้งค่าดังกล่าวนั้นจริงๆ แล้วเปิดพื้นที่โจมตีที่สามารถถูกใช้ประโยชน์ได้หรือไม่ บุคคลดังกล่าวได้ระบุ nginx และ PHP 8.4.26 ผ่านส่วนหัวการตอบกลับ HTTP ยืนยันอย่างอิสระว่ามีลายนิ้วมือของ PHP 8.2 หรือเวอร์ชันใหม่กว่า และเปรียบเทียบพฤติกรรมของเซิร์ฟเวอร์กับสภาพแวดล้อมการทดสอบในท้องถิ่น

หลังจากที่พิจารณาเบื้องต้นว่า nginx ถูกใช้ร่วมกับ PHP-FPM หรือ Apache การวิเคราะห์กลับชี้ไปยังสิ่งที่ไม่คาดคิด: พฤติกรรมที่ตรงกันมากที่สุดดูเหมือนว่า nginx กำลังส่งคำขอไปยังเซิร์ฟเวอร์เว็บแบบบรรทัดคำสั่งที่ฝังตัวใน PHP

Bitcoin Bounty เป็นความท้าทายที่เป็นไปไม่ได้หรือไม่?

การวิเคราะห์นี้ได้ยกประเด็นที่น่าคิดถึงยิ่งขึ้นเกี่ยวกับจุดเข้าของเว็บไซต์ การตอบสนองของเว็บไซต์ดูเหมือนสอดคล้องกับเซิร์ฟเวอร์ในตัวของ PHP ที่ส่งไฟล์ index.html แบบคงที่ แทนที่จะรันสคริปต์ index.php หากการตีความนี้ถูกต้อง ช่องโหว่ที่ประกาศไว้อาจไม่สามารถเข้าถึงได้ผ่านพื้นผิวการโจมตีที่ได้รับอนุญาตในความท้าทายนี้

สิ่งนี้จะเปลี่ยนการแข่งขันไปอย่างสิ้นเชิง แฮกเกอร์อาจไม่ได้ล้มเหลวในการใช้ประโยชน์จากข้อบกพร่องสำคัญสองข้อ แต่พวกเขาอาจกำลังโจมตีสภาพแวดล้อมที่เงื่อนไขที่จำเป็นไม่เคยเกิดขึ้น ผู้ดำเนินการการตรวจสอบได้ตั้งคำถามว่าการแข่งขันนี้ดำเนินการด้วยความสุจริตหรือไม่ แต่ยอมรับว่าผลการค้นพบอาจผิดพลาดและยินดีรับข้อเสนอแนะเพื่อแก้ไข

ที่สำคัญคือ การวิเคราะห์ลายนิ้วมือการตอบสนองเพียงอย่างเดียวไม่สามารถกำหนดสถาปัตยกรรมของเซิร์ฟเวอร์ได้อย่างครบถ้วน หรือพิสูจน์ได้ว่าการโจมตีเป็นไปไม่ได้ อย่างไรก็ตาม สมมติฐานดังกล่าวยังไม่ได้รับการยืนยัน ในขณะเดียวกัน ช่องโหว่ PHP ที่อยู่เบื้องหลังนั้นเป็นจริง และผู้ดูแลระบบที่ใช้งานเวอร์ชันที่ได้รับผลกระทบยังคงต้องติดตั้งแพตช์เพื่อแก้ไขระบบของตน

ในขณะนี้ Steal My Bitcoin กำลังกลายเป็นปรากฏการณ์ที่ชวนให้สงสัยมากขึ้นเรื่อยๆ: รางวัลบิตคอยน์ที่ประกาศให้สาธารณชนทราบ, กลุ่มผู้ต้องการเป็นแฮกเกอร์ และความสงสัยที่เพิ่มขึ้นว่าตู้นิรภัยดิจิทัลนี้อาจไม่มีประตูที่เข้าถึงได้ตั้งแต่แรก