PHP sunucusuna sızıp Bitcoin özel anahtarını çıkardı; ödül cüzdanı etkilenmedi

Bir güvenlik araştırmacısı, halka açık bir hack testinde PHP sunucusuna sızarak burada kayıtlı Bitcoin(BTC) özel anahtarını çıkardı. Saldırı, yöneticinin erişilebilir bir PHP sayfası eklemesinden yaklaşık 2 saat 47 dakika sonra başarıya ulaştı. Ancak çıkarılan anahtar ödül cüzdanına ait olmadığı için Bitcoin’ler çalınmadı.

CryptoSlate’in haberine göre, çevrimiçi ortamda Killa adını kullanan güvenlik araştırmacısı “Steal My Bitcoin” deneyinde sunucuya sızmayı başardı. Deneyin yöneticisi James Pavur, saldırıyı sunucu kayıtlarından doğruladı.

Deney, 21’inde kamuoyuna açıklanan iki PHP güvenlik açığının (CVE-2026-109618 ve CVE-2026-109619) gerçek bir sunucuda kötüye kullanılıp kullanılamayacağını sınamak için yapıldı. Bu açıklar, etkilenen sunucularda dışarıdan kişilerin uzaktan kod çalıştırmasına imkân verebildiği için güvenlik endişelerine yol açtı.

İlk kurulumda saldırganların savunmasız özelliklere erişmesi zordu. Pavur başlangıçta PHP’nin yerleşik web sunucusu üzerinden yalnızca standart HTML sayfaları sundu. Yoğun erişim istekleri sunucunun kararsız çalışmasına da neden oldu. Güvenlik araştırmacıları, bu kurulumun tek başına açıkların riskini değerlendirmek için yeterli olmadığını belirtti.

Pavur, 25’inde saat 22.00 civarında erişilebilir bir PHP sayfası ekledi. Killa, 26’sında saat 00.47.38’de sunucuda kod çalıştırmayı başardı. Başarı, deneyin başlangıcından değil, saldırı için gereken özelliğin erişime açılmasından yaklaşık 2 saat 47 dakika sonra geldi.

Killa daha sonra saldırının yeniden uygulanmasına ilişkin belgeleri GitHub’da yayımladı. Belgelerde, sunucu yanıtından özel anahtarın nasıl elde edildiği ve saldırının ayrı bir test ortamında yeniden uygulanmasının sonuçları yer aldı. Killa, gerçek saldırı sırasında gönderilen tüm istekleri ve yanıt başlıklarını saklayamadığını açıkladı.

Deneyde özel anahtar çıkarıldı ancak ödül cüzdanındaki Bitcoin’ler taşınamadı. Bunun nedeni, Pavur’un sunucuda sakladığı anahtarın ödülün bulunduğu adrese ait özel anahtar olmamasıydı. Pavur deneyin başarılı olduğunu kabul etti ve ayrıca yaklaşık 2 bin dolar (yaklaşık 2,65 milyon won) değerinde Bitcoin verdi.

İki PHP açığının kimlik doğrulaması olmadan sunucuda uzaktan kod çalıştırılmasına imkân verebileceği daha önce bildirilmişti. Uzaktan kod çalıştırma, dışarıdan bir saldırganın sunucuda komut yürütmesine olanak tanıyan bir saldırı türü. Bu nedenle sunucuda tutulan bilgiler saldırı hedefi hâline gelebilir.

Özel anahtar, Bitcoin cüzdanındaki fonları kontrol etmeyi sağlayan bir kimlik doğrulama bilgisidir. Bu deney, yapılandırması değiştirilmiş belirli bir PHP sunucusuna sızıldığı ve özel anahtarın çıkarıldığı bir vakayı gösteriyor. Yayımlanan kayıtlar, saldırının yapay zekâ tarafından otonom biçimde gerçekleştirilip gerçekleştirilmediğini ortaya koymuyor.