网站向黑客发起挑战，让他们趁着计时器不断倒计时之际偷走比特币

一场无人能成的2,000美元比特币劫案

欢迎来到“Steal My Bitcoin”——这里彻底颠覆了网络安全领域的常规规则。该网站非但没有将黑客拒之门外，反而主动邀请他们入内，提供比特币赏金，并挑战他们来拿走这笔钱。 任务听起来简单得可笑：利用一个故意留有漏洞的 PHP 安装环境，获取隐藏的比特币私钥并清空钱包。首位成功入侵的黑客将获得奖金。

奖金起初约为500美元，随后通过捐款推高至2,000美元，约合0.025 BTC。据报道，截至2026年10月25日晚，该钱包上线超过17小时后仍未被触碰。 不过，活动设有相关规则。参与者必须将攻击范围限制在Web应用程序和PHP容器内。禁止攻击底层主机、破坏基础设施或对服务器进行洪水式攻击。所有活动均会被记录在案。

两个关键PHP漏洞遭遇意想不到的阻碍

该挑战使用的是PHP 8.4.26版本，该版本存在两个被统称为“PHP2Shell”的高危安全漏洞。这两个漏洞的严重性评分均为9.2，紧急补丁已于10月21日发布。

这些漏洞（CVE-2026-109618 和 CVE-2026-109619）涉及内存管理缺陷，可能导致远程代码执行。在特定配置下，攻击者无需身份验证即可执行命令。但故事在此处出现了意想不到的转折。

一位对此进行分析的专家公开质疑，该配置是否真的暴露了可被利用的攻击面。该专家通过HTTP响应头识别出nginx和PHP 8.4.26，独立确认了PHP 8.2及更高版本的特征，并将服务器的行为与本地测试环境进行了对比。

在最初考虑过 nginx 与 PHP-FPM 或 Apache 组合之后，分析结果指向了一个出人意料的方向：行为特征最接近的情况似乎是 nginx 将请求转发给了 PHP 内置的命令行 Web 服务器。

比特币悬赏是否是一项不可能完成的挑战？

该分析还就该网站的入口点提出了一个更具争议的可能性。其响应表现与 PHP 内置服务器返回静态 index.html 文件而非执行 index.php 脚本的情况一致。如果这种解读准确，那么公告中提到的漏洞可能无法通过挑战规定的攻击面进行利用。

这将从根本上改变比赛的性质。黑客未必是未能利用两个关键漏洞，而是可能攻击了一个永远无法满足必要条件的环境。进行此次调查的人士质疑该挑战是否秉持善意，但同时也承认这些发现可能有误，并欢迎更正。

重要的是，仅凭响应指纹分析无法确定服务器的完整架构，也无法证明无法进行利用。不过，这一假设尚未得到验证。与此同时，底层的 PHP 漏洞是真实存在的，运行受影响版本的管理员仍需为系统打补丁。

目前，“Steal My Bitcoin”呈现出一幅愈发耐人寻味的景象：一项公开宣传的比特币悬赏、一群跃跃欲试的黑客，以及日益加深的怀疑——这个数字金库或许从一开始就没有可供进入的门。