安全研究员Killa在2小时47分钟内从PHP服务器提取出比特币(BTC)私钥

Killa攻破“来偷我的比特币”服务器

化名Killa的安全研究员在公开实验“来偷我的比特币”中攻陷了一台PHP服务器,并提取出其中存放的比特币(BTC)私钥,不过作为奖品的比特币本身始终没有离开钱包。当天比特币价格走势平淡,但由主办方James Pavur组织的这次实验,成为迄今最尖锐的一次现场演示:两个近期披露的PHP漏洞足以导致服务器被完全攻陷、凭据外泄。Pavur通过服务器自身日志确认了这次入侵。Killa在2026年10月25日(星期日)深夜实现远程代码执行,此时距离目标服务器开放一个可访问的PHP页面仅过去约2小时47分钟。随后,Killa从服务器响应中找回了存放的私钥,并在GitHub上发布了复现报告,记录了取回密钥的完整路径,以及在另一套隔离测试环境中重放攻击的结果。Killa承认,并非现场会话中的每个请求和响应头都被保存下来,攻击链的部分环节因此缺少记录。但最终结果仍然站在防守一方:服务器上的那把私钥并非控制奖品地址的密钥,实验中的比特币从未被转移。Pavur接受了这一结果,并另行向Killa支付了价值约2,000美元的Bitcoin (BTC)。私钥是授权在比特币工作量证明网络上花费的凭据,谁掌握它,谁只需广播一笔交易就能转走币。Pavur押上了真实的币,就是要验证这两个PHP漏洞能否被真正武器化,而不是停留在纸面描述;服务器日志最终回答了入侵是否真实发生的问题。

两个PHP漏洞与一次配置变更

本次实验的核心漏洞CVE-2026-109618和CVE-2026-109619于2026年10月21日披露,两者均允许外部攻击者在未经身份验证的情况下,在受影响服务器上远程执行代码。远程代码执行指的是外部攻击者可以直接向一台机器下达命令,而“无需身份验证”意味着不需要登录,也不依赖任何用户操作。然而实验开局对这一论点相当不利。Pavur最初仅通过PHP内置Web服务器提供纯HTML页面,这种配置让存在漏洞的代码路径实际上无法触达,与此同时,大量连接请求反而让机器本身陷入不稳定。多位安全研究人员指出,这样的配置既不能证明也不能排除漏洞的危险性,随后一种对立叙事开始流传:PHP风险被夸大了。从10月21日披露到星期日被攻破之间,没有任何参与者真正触达过存在漏洞的代码。Pavur在星期日作出回应,向架构中新增了一个可访问的PHP页面。正是这一项配置变更打开了攻击面,Killa的漏洞利用在不到3小时内就告得手。安全公司Hacktron联合创始人Mohan Pedhapiti在相关讨论中警告,如果仅因早期尝试失败就将漏洞评为低风险,将是一个错误,因为设计不当的测试结果可能被企业援引为推迟安全更新的理由。人工智能是否参与了这次成功入侵尚无定论:公开记录既未证实漏洞利用是自主运行,也未证实有人的指挥介入。风险并不止于一台比赛服务器,交易所、钱包服务商和托管机构保存的恰恰是这类漏洞所能暴露的身份验证材料,而Killa公开的复现报告为防守方提供了一份可操作的审计模板。

超出奖品范围的托管教训

这一结果把托管团队经常混为一谈的两种风险拆分了开来。存放的密钥泄露,与控制该密钥所属的钱包,是两种不同的失败状态,而这次实验只命中了前者。基于包装比特币构建的产品依赖的是后者,因为托管人的密钥直接控制着用户无法自行取回的币。奖品之所以保住,是因为主办方在服务器上存放了错误的密钥,这一防线靠的是配置上的运气,而非设计上的周密。该事件与近期的Electrum 4.8.3钱包漏洞叠加在一起,再次表明比特币区块链周边的软件栈仍是一个活跃的攻击面。