Steal My Bitcoin: почему хакеры пока не забрали биткоины на $2 000

Проект Steal My Bitcoin предлагает хакерам необычный вызов: получить доступ к биткоин-кошельку и забрать вознаграждение. Призовой фонд достиг $2 000, однако, согласно опубликованным данным, на конец 25 октября 2026 года средства оставались нетронутыми.

Участникам предстоит найти способ получить приватный ключ кошелька через специально подготовленную среду PHP. При этом организаторы ограничили область допустимых атак. В результате конкурс превратился не только в проверку навыков взлома, но и в повод для обсуждения реальной защищённости системы.

Как работает конкурс Steal My Bitcoin

Изначально награда составляла около $500. Однако благодаря пожертвованиям она выросла до $2 000 — примерно 0,025 BTC.

По данным публикации, к концу дня 25 октября сайт находился в сети более 17 часов, а биткоины всё ещё оставались на кошельке. Тем не менее отсутствие успешной атаки само по себе не доказывает, что система неуязвима.

Организаторы установили несколько правил. Участники могут атаковать только веб-приложение и контейнер PHP. При этом запрещены атаки на базовый хост, саботаж инфраструктуры и перегрузка сервера. Кроме того, вся активность фиксируется в журнале.

Таким образом, конкурс ограничивает способы проверки безопасности и задаёт участникам определённые рамки.

Уязвимости PHP2Shell: в чём заключается риск

В основе задания лежит PHP 8.4.26. В предоставленном описании эта версия связана с двумя критическими уязвимостями, объединёнными названием PHP2Shell.

Речь идёт об уязвимостях CVE-2026-109618 и CVE-2026-109619. Согласно исходному материалу, они связаны с ошибками управления памятью и потенциально могут приводить к удалённому выполнению кода. В определённых конфигурациях это, в свою очередь, может позволить выполнять команды без аутентификации.

Для таких сценариев особенно важны версия программного обеспечения и конфигурация сервера. Даже наличие уязвимого компонента не гарантирует, что атакующий сможет воспользоваться им через конкретную точку входа.

В публикации также указано, что экстренные исправления для этих проблем вышли 21 октября. Поэтому администраторам соответствующих систем важно проверить применимость обновлений и установить необходимые исправления.

Почему исследователи сомневаются в доступности атаки

Один из исследователей поставил под сомнение, действительно ли конфигурация Steal My Bitcoin позволяет использовать заявленные уязвимости.

По его анализу HTTP-заголовков, сайт использует nginx и PHP 8.4.26. Дополнительная проверка, как сообщается, подтвердила наличие PHP версии 8.2 или новее, однако это не позволило однозначно установить архитектуру сервера.

Первоначально предполагалось, что nginx взаимодействует с PHP-FPM или Apache. Однако наблюдаемое поведение, по мнению исследователя, больше соответствовало другой схеме: nginx мог перенаправлять запросы на встроенный веб-сервер PHP, запущенный из командной строки.

При этом отдельное внимание привлекла главная страница. Ответы сервера, согласно анализу, соответствовали выдаче статического файла index.html вместо выполнения index.php.

Если эта интерпретация верна, доступная участникам точка входа может не обеспечивать необходимых условий для эксплуатации уязвимостей. Следовательно, проблема может заключаться не в навыках хакеров, а в том, как настроена среда конкурса.

Однако вывод остаётся предварительным. Одних HTTP-заголовков и внешнего анализа недостаточно, чтобы полностью восстановить архитектуру сервера или доказать невозможность атаки.

Является ли конкурс невыполнимым

Пока нет оснований утверждать, что забрать биткоины невозможно. Для такого вывода необходимо подтвердить фактическую конфигурацию сервера и проверить, доступен ли уязвимый компонент через разрешённую поверхность атаки.

С другой стороны, отсутствие успешных попыток на протяжении более 17 часов может объясняться разными причинами. Участники могли ещё не найти подходящий способ эксплуатации, а предполагаемая исследователем конфигурация могла оказаться иной.

Автор анализа выразил сомнения в добросовестности организации конкурса, но одновременно признал, что его выводы могут быть ошибочными, и допустил возможность исправлений.

Поэтому на текущем этапе корректнее говорить о спорной конфигурации и непроверенной гипотезе, а не о доказанном обмане или гарантированной невозможности взлома.

Что это значит для инвестора?

История Steal My Bitcoin показывает, почему при оценке криптовалютной инфраструктуры важно учитывать не только заявленные уязвимости, но и реальные условия их эксплуатации.

Для инвесторов и пользователей цифровых активов здесь есть несколько практических выводов:

Уязвимость не равна успешному взлому. Результат зависит от конфигурации системы, доступных точек входа и возможности эксплуатации ошибки.
Публичный конкурс не гарантирует проверку всей инфраструктуры. В данном случае правила ограничивают область допустимых атак, поэтому результаты нельзя автоматически распространять на всю систему.
Обновления безопасности остаются важными. Администраторам следует проверять версии компонентов и устанавливать исправления, применимые к их конфигурации.
Размер награды не подтверждает надёжность кошелька. Пока средства не похищены, это не означает, что активы защищены при любых сценариях атаки.

Кроме того, инвесторам стоит различать техническую демонстрацию и независимое подтверждение безопасности. Для обоснованных выводов нужны проверяемые результаты, а не только отсутствие успешного взлома.

Вывод Expert Finance: конкурс Steal My Bitcoin привлёк внимание наградой в $2 000 и заявленными уязвимостями PHP. Однако пока не установлено, действительно ли разрешённая конфигурация позволяет их эксплуатировать. Поэтому считать кошелёк неуязвимым или обвинять организаторов в недобросовестности преждевременно.

Источник

Хотите разобрать свою ситуацию?

Если вы не хотите собирать портфель методом «увидел тикер — купил», можно разобрать вашу ситуацию на консультации Эксперт Финанс: цели, риск, сумму входа, подходящие монеты и ошибки, которые лучше не оплачивать собственным депозитом.

Записаться на консультацию

Телеграм-канал «Эксперт Финанс» — подпишитесь и будьте в курсе самых главных и актуальных новостей о криптовалюте.