Verkkosivuston haaste hakkerille
Verkkosivusto haastaa hakkerit varastamaan 2 000 dollaria Bitcoinia, mutta kukaan ei ole vielä onnistunut keräämään palkintoa. Itsenäinen tutkimus viittaa siihen, että oletettavasti haavoittuva haaste saattaa olla mahdoton murtaa, mikä herättää kiusallisen kysymyksen: Onko peli järjestetty?
Steal My Bitcoin -sivusto
Tervetuloa Steal My Bitcoin -sivustolle, jossa kyberturvallisuuden perinteiset säännöt on käännetty ylösalaisin. Sen sijaan, että hakkerit pidettäisiin ulkona, verkkosivusto kutsuu heidät sisään, tarjoaa Bitcoin-palkkion ja haastaa heidät ottamaan sen. Tehtävä kuulostaa naurettavan yksinkertaiselta: Hyödynnä tahallisesti haavoittuva PHP-asennus, hae piilotettu Bitcoin-yksityinen avain ja tyhjennä lompakko. Ensimmäinen onnistunut hakkeri saa rahat.
Palkinto alkoi noin 500 dollarista, mutta lahjoitusten myötä se on noussut 2 000 dollariin, mikä vastaa noin 0,025 BTC:tä. Lokakuun 25. päivänä 2026 lompakon kerrottiin pysyneen koskemattomana yli 17 tuntia verkossa.
Haasteen säännöt
Säännöt kuitenkin ovat tiukat. Osallistujien on rajoitettava hyökkäyksensä verkkosovellukseen ja PHP-konttiin. Hyökkääminen taustalla olevaan isäntään, infrastruktuurin sabotoiminen tai palvelimen ylikuormittaminen on kielletty. Kaikki toiminnot kirjataan.
Haavoittuvuudet ja tutkimus
Haaste mainostaa PHP 8.4.26:ta, versiota, joka on haavoittuva kahdelle kriittiselle tietoturvaongelmalle, joita kutsutaan yhteisesti PHP2Shelliksi. Molemmilla on vakavuusasteet 9.2, ja hätäkorjaukset saapuivat 21. lokakuuta. Haavoittuvuudet, CVE-2026-109618 ja CVE-2026-109619, liittyvät muistinhallintavirheisiin, jotka voivat mahdollistaa etäkäskykäytön.
Tietyissä kokoonpanoissa hyökkääjät voisivat suorittaa komentoja ilman todennusta.
Kuitenkin tarina saa erikoisen käänteen. Yksi henkilö, joka tutki haastetta, kyseenalaisti julkisesti, altistaako sen kokoonpano todella hyödynnettävän hyökkäyspinnan. Hän tunnisti nginx:n ja PHP 8.4.26:n HTTP-vastaushälyttimien kautta, vahvisti itsenäisesti PHP 8.2 tai uudemman sormenjäljen ja vertasi palvelimen käyttäytymistä paikallisiin testausympäristöihin.
Aluksi harkittuaan nginx:iä yhdessä PHP-FPM:n tai Apachen kanssa, analyysi viittasi johonkin odottamattomaan: Lähin käyttäytymisvastine näytti olevan nginx, joka välitti pyyntöjä PHP:n sisäänrakennetulle komentorivipalvelimelle.
Analyysi nosti esiin vielä provosoivamman mahdollisuuden verkkosivuston sisäänkäynnistä. Sen vastaukset näyttivät olevan yhdenmukaisia PHP:n sisäänrakennetun palvelimen toimittaman staattisen index.html-tiedoston kanssa sen sijaan, että se suorittaisi index.php-skriptiä.
Johtopäätökset
Jos tämä tulkinta on tarkka, mainostetut haavoittuvuudet eivät ehkä ole saavutettavissa haasteen sallimasta hyökkäyspinnasta. Tämä muuttaisi kilpailun perusteellisesti. Hakkerit eivät välttämättä epäonnistu kahden kriittisen virheen hyödyntämisessä, vaan he saattavat hyökätä ympäristöön, jossa vaaditut olosuhteet eivät koskaan toteudu.
Tutkimuksen takana oleva henkilö kyseenalaisti, toimiiko haaste hyvässä uskossa, mutta myönsi, että havainnot voivat olla virheellisiä ja toivotti korjaukset tervetulleiksi. Tärkeää on, että pelkkä vastaussormenjälkien ottaminen ei voi todistaa palvelimen täydellistä arkkitehtuuria tai osoittaa hyödyntämisen mahdottomaksi. Silti hypoteesi pysyy vahvistamattomana.
Samaan aikaan taustalla olevat PHP-haavoittuvuudet ovat todellisia, ja hallinnoijien, jotka käyttävät haavoittuvia versioita, on edelleen korjattava järjestelmänsä. Tällä hetkellä Steal My Bitcoin esittää yhä kiinnostavampaa spektaakkelia: Julkisesti mainostettu Bitcoin-palkkio, joukko potentiaalisia hakkerita ja kasvava epäily siitä, että digitaalista holvia ei ehkä ole lainkaan saavutettavissa.
