Trang web thách thức hacker đánh cắp Bitcoin khi đồng hồ chạy tiếp

Vụ cướp Bitcoin trị giá 2.000 USD mà không ai có thể thực hiện

Chào mừng bạn đến với Steal My Bitcoin, nơi các quy tắc thông thường về an ninh mạng đã bị đảo lộn hoàn toàn. Thay vì ngăn chặn tin tặc, trang web này lại mời họ vào, treo giải thưởng Bitcoin và thách thức họ lấy nó. Nhiệm vụ nghe có vẻ đơn giản đến mức nực cười: Tận dụng một bản cài đặt PHP cố tình để lộ lỗ hổng, lấy được khóa riêng Bitcoin ẩn và rút sạch ví. Hacker nào thành công đầu tiên sẽ nhận được số tiền đó.

Phần thưởng ban đầu khoảng 500 USD trước khi các khoản đóng góp đẩy con số này lên gần 2.000 USD, tương đương khoảng 0,025 BTC. Tính đến cuối ngày 25 tháng 10 năm 2026, ví tiền được báo cáo vẫn chưa bị động đến sau hơn 17 giờ trực tuyến. Tuy nhiên, vẫn có những quy tắc nhất định. Người tham gia phải giới hạn các cuộc tấn công của mình trong phạm vi ứng dụng web và container PHP. Nghiêm cấm tấn công máy chủ cơ sở, phá hoại cơ sở hạ tầng hoặc làm quá tải máy chủ. Mọi hoạt động đều được ghi lại.

Hai lỗ hổng nghiêm trọng trong PHP gặp phải trở ngại bất ngờ

Thử thách này đề cập đến PHP 8.4.26, một phiên bản dễ bị tấn công bởi hai lỗ hổng bảo mật nghiêm trọng được gọi chung là PHP2Shell. Cả hai đều có mức độ nghiêm trọng là 9,2 và các bản vá khẩn cấp đã được phát hành vào ngày 21 tháng 10.

Các lỗ hổng, CVE-2026-109618 và CVE-2026-109619, liên quan đến lỗi quản lý bộ nhớ có thể tiềm ẩn nguy cơ cho phép thực thi mã từ xa. Trong một số cấu hình nhất định, kẻ tấn công có thể thực thi lệnh mà không cần xác thực. Tuy nhiên, đây là lúc câu chuyện có một diễn biến kỳ lạ.

Một cá nhân đã phân tích vấn đề này đã công khai đặt câu hỏi liệu cấu hình đó có thực sự tạo ra một bề mặt tấn công có thể khai thác hay không. Người này đã xác định nginx và PHP 8.4.26 thông qua các tiêu đề phản hồi HTTP, độc lập xác nhận dấu vân tay của PHP 8.2 trở lên và so sánh hành vi của máy chủ với các môi trường thử nghiệm cục bộ.

Sau khi ban đầu xem xét nginx kết hợp với PHP-FPM hoặc Apache, phân tích đã chỉ ra một điều bất ngờ: hành vi phù hợp nhất dường như là nginx chuyển tiếp các yêu cầu đến máy chủ web dòng lệnh tích hợp sẵn của PHP.

Phần thưởng Bitcoin có phải là một thách thức bất khả thi?

Phân tích này đã nêu lên một khả năng còn gây tranh cãi hơn liên quan đến điểm vào của trang web. Các phản hồi của nó dường như phù hợp với việc máy chủ tích hợp sẵn của PHP đang cung cấp tệp index.html tĩnh thay vì thực thi tập lệnh index.php. Nếu cách giải thích này chính xác, các lỗ hổng được công bố có thể không thể tiếp cận được thông qua bề mặt tấn công được phép của thử thách.

Điều đó sẽ thay đổi hoàn toàn bản chất của cuộc thi. Các hacker không nhất thiết là đã thất bại trong việc khai thác hai lỗ hổng nghiêm trọng. Họ có thể đang tấn công vào một môi trường mà các điều kiện cần thiết không bao giờ xuất hiện. Người đứng sau cuộc kiểm tra đã đặt câu hỏi liệu thử thách có được tổ chức với thiện chí hay không, nhưng cũng thừa nhận rằng các phát hiện có thể sai lầm và hoan nghênh các chỉnh sửa.

Điều quan trọng là, chỉ riêng việc phân tích dấu vân tay phản hồi không thể xác định được kiến trúc hoàn chỉnh của máy chủ hay chứng minh việc khai thác là không thể. Tuy nhiên, giả thuyết này vẫn chưa được xác minh. Trong khi đó, các lỗ hổng PHP cơ bản là có thật, và các quản trị viên đang chạy các phiên bản bị ảnh hưởng vẫn cần phải vá hệ thống của họ.

Hiện tại, Steal My Bitcoin đang tạo nên một cảnh tượng ngày càng gây tò mò: Một phần thưởng bitcoin được công bố rộng rãi, một đám đông những kẻ tấn công tiềm năng và nghi ngờ ngày càng gia tăng rằng “kho tiền kỹ thuật số” này có thể vốn dĩ không có “cánh cửa” nào để tiếp cận.