Giới thiệu về Steal My Bitcoin
Một trang web gần như đang mời gọi các hacker đánh cắp 2.000 USD bằng Bitcoin, nhưng cho đến nay, không ai đã thành công trong việc thu thập giải thưởng. Giờ đây, một cuộc kiểm tra độc lập cho thấy thử thách được cho là dễ bị tổn thương này có thể thực sự không thể bị phá vỡ, đặt ra một câu hỏi khó xử: Liệu trò chơi này có thể bị gian lận?
Thử thách và quy tắc
Chào mừng bạn đến với Steal My Bitcoin, nơi mà các quy tắc thông thường của an ninh mạng đã bị đảo lộn. Thay vì giữ hacker bên ngoài, trang web này mời gọi họ tham gia, cung cấp một phần thưởng Bitcoin và thách thức họ lấy nó. Nhiệm vụ nghe có vẻ đơn giản một cách ngớ ngẩn: Khai thác một cài đặt PHP cố ý dễ bị tổn thương, lấy một khóa riêng Bitcoin ẩn và làm rỗng ví. Hacker thành công đầu tiên sẽ nhận được tiền.
Giải thưởng bắt đầu ở mức khoảng 500 USD trước khi các khoản quyên góp đẩy nó lên gần 2.000 USD, tương đương khoảng 0,025 BTC. Tính đến cuối ngày 25 tháng 10 năm 2026, ví được báo cáo vẫn chưa bị động chạm sau hơn 17 giờ trực tuyến.
Tuy nhiên, có những quy tắc. Người tham gia phải giới hạn các cuộc tấn công của họ vào ứng dụng web và container PHP. Tấn công vào máy chủ cơ sở, phá hoại hạ tầng hoặc làm quá tải máy chủ là bị cấm. Tất cả hoạt động đều được ghi lại.
Các lỗ hổng bảo mật
Thử thách quảng cáo PHP 8.4.26, một phiên bản dễ bị tổn thương với hai lỗ hổng bảo mật nghiêm trọng được gọi chung là PHP2Shell. Cả hai đều có điểm số nghiêm trọng là 9.2, và các bản vá khẩn cấp đã được phát hành vào ngày 21 tháng 10. Các lỗ hổng, CVE-2026-109618 và CVE-2026-109619, liên quan đến các lỗi quản lý bộ nhớ có thể cho phép thực thi mã từ xa. Trong một số cấu hình nhất định, các hacker có thể thực thi các lệnh mà không cần xác thực.
Phân tích và nghi vấn
Tuy nhiên, đây là nơi câu chuyện có một bước ngoặt kỳ lạ. Một cá nhân đã kiểm tra thử thách công khai và đặt câu hỏi liệu cấu hình của nó có thực sự phơi bày một bề mặt tấn công có thể khai thác hay không. Cá nhân này đã xác định nginx và PHP 8.4.26 thông qua các tiêu đề phản hồi HTTP, xác nhận độc lập một dấu vân tay PHP 8.2 hoặc mới hơn và so sánh hành vi của máy chủ với các môi trường thử nghiệm cục bộ.
Sau khi ban đầu xem xét nginx kết hợp với PHP-FPM hoặc Apache, phân tích đã chỉ ra một điều bất ngờ: Sự phù hợp hành vi gần nhất dường như là nginx chuyển tiếp các yêu cầu đến máy chủ web dòng lệnh tích hợp của PHP. Phân tích đã nêu ra một khả năng thậm chí còn gây tranh cãi hơn liên quan đến điểm truy cập của trang web. Các phản hồi của nó dường như nhất quán với máy chủ tích hợp của PHP cung cấp một tệp index.html tĩnh thay vì thực thi một kịch bản index.php.
Nếu cách diễn giải đó là chính xác, các lỗ hổng được quảng cáo có thể không thể tiếp cận thông qua bề mặt tấn công được phép của thử thách. Điều đó sẽ thay đổi cơ bản cuộc thi. Các hacker sẽ không nhất thiết phải thất bại trong việc khai thác hai lỗi nghiêm trọng. Họ có thể đang tấn công một môi trường mà các điều kiện cần thiết không bao giờ xuất hiện.
Kết luận
Người đứng sau cuộc kiểm tra đã đặt câu hỏi liệu thử thách có hoạt động với thiện chí hay không nhưng thừa nhận rằng các phát hiện có thể sai và hoan nghênh các sửa đổi. Quan trọng là, việc xác định dấu vân tay phản hồi một mình không thể thiết lập kiến trúc hoàn chỉnh của máy chủ hoặc chứng minh rằng việc khai thác là không thể.
Tuy nhiên, giả thuyết vẫn chưa được xác minh. Trong khi đó, các lỗ hổng PHP cơ bản là có thật, và các quản trị viên đang chạy các phiên bản bị ảnh hưởng vẫn cần phải vá hệ thống của họ. Hiện tại, Steal My Bitcoin trình bày một cảnh tượng ngày càng thú vị: Một phần thưởng Bitcoin được quảng cáo công khai, một đám đông các hacker tiềm năng và một sự nghi ngờ ngày càng tăng rằng kho tiền kỹ thuật số có thể không có một cánh cửa có thể truy cập ngay từ đầu.
