Le chercheur Killa a compromis le serveur du défi Steal My Bitcoin et remporté sa prime en Bitcoin moins de trois heures après que l’opérateur a modifié la configuration PHP. L’attaque a extrait un identifiant caché de portefeuille, et l’opérateur James Pavur a déclaré que les journaux du serveur confirmaient ces conclusions. Le résultat a ravivé les inquiétudes concernant deux failles PHP critiques, CVE-2026-109618 et CVE-2026-109619, qui pourraient permettre l’exécution de code à distance.
Pourquoi c’est important
Le défi diffusait initialement du HTML ordinaire via le serveur web intégré de PHP, ce qui limitait l’accès aux fonctionnalités vulnérables. Un trafic important a également saturé le serveur monothread, poussant des chercheurs en sécurité à estimer que sa résistance initiale ne prouvait pas que les failles étaient difficiles à exploiter.
Mohan “s1r1us” Pedhapati, cofondateur de Hacktron, a averti que considérer le défi non résolu comme la preuve d’une vulnérabilité exagérée pouvait donner aux entreprises un faux sentiment de sécurité et retarder l’application des correctifs. Pavur a ensuite ajouté une page PHP accessible vers 13:00 UTC le 25 octobre. L’attaque réussie a suivi à 15:47:38 UTC.
Impact sur le marché
L’incident constitue un avertissement de sécurité opérationnelle pour les entreprises utilisant des systèmes PHP concernés, plutôt qu’un signal direct sur le cours du Bitcoin. Des mises à jour logicielles d’urgence ont suivi la divulgation des vulnérabilités, et le défi offre désormais un exemple public de la manière dont la configuration peut déterminer si une faille est réellement exploitable.
Killa a publié une preuve de concept sur GitHub et reproduit l’attaque en laboratoire. Les éléments disponibles confirment que la réponse du serveur contenait une clé privée Bitcoin, mais n’établissent pas qu’un système d’IA autonome a mené l’attaque ni ne documentent complètement la manière dont les modèles ont été utilisés. La principale leçon pour les opérateurs crypto est de corriger les infrastructures PHP exposées, plutôt que de considérer les premières démonstrations difficiles comme une garantie de sécurité.
Questions fréquemment posées
-
À quelle vitesse le chercheur a-t-il remporté le défi Bitcoin ?
L’attaque a réussi moins de trois heures après la modification de la configuration du serveur. La page PHP accessible a été ajoutée vers 13:00 UTC, puis l’attaque réussie a suivi à 15:47:38 UTC le 25 octobre.
-
Quelles vulnérabilités PHP étaient impliquées dans le défi ?
Le défi a suivi la divulgation de CVE-2026-109618 et CVE-2026-109619. Selon les chercheurs, ces failles critiques pouvaient permettre l’exécution de code à distance sur les serveurs concernés.
-
Pourquoi le défi a-t-il d’abord été critiqué ?
Le serveur diffusait initialement du HTML ordinaire via le serveur web intégré de PHP, ce qui limitait l’accès aux fonctionnalités vulnérables. Un trafic important a également saturé le serveur monothread.
-
Quelles preuves Killa a-t-il publiées après l’attaque ?
Killa a publié une preuve de concept sur GitHub et une reproduction en laboratoire. Les éléments comprenaient une réponse du serveur contenant une clé privée Bitcoin, même si des lacunes subsistaient dans les enregistrements initiaux.
-
Le résultat prouve-t-il qu’une IA a mené l’attaque de manière autonome ?
Non. Les éléments publiés n’établissent pas qu’un système d’IA autonome a mené l’attaque ni ne fournissent un compte rendu complet de l’utilisation des modèles.
WuBlockchain
CoinDesk
TheBlock
Crypto Rank News
Crypto News