אתגר פרצת האבטחה ב-PHP נפרץ בתוך 19 שעות: נגנבו 0.025 BTC
שרת PHP 8.4.26 שלא הותקנו בו עדכונים בכוונה, ואשר אירח מפתח פרטי של ארנק ביטקוין, נפרץ כ־19.28 שעות לאחר שמפתח השיק את אתגר “Steal My Bitcoin”. התוקף, המוכר בשם KillaBoi, גנב 0.02511679 BTC, שהיו שווים אז כ־2,021 דולר. מטרת האתגר הייתה לבדוק אם אפשר לנצל בפועל חולשת הרצת קוד מרחוק ב־PHP שנחשפה לאחרונה. בתחילה לא היה בשרת דף להרצת PHP שהיה נגיש מבחוץ; דף כזה נוסף בהמשך, והפריצה התרחשה כשלוש שעות לאחר מכן. ב־21 באוקטובר פרסמה PHP עדכוני אבטחה דחופים, ובהם PHP 8.4.27. האירוע מדגיש את החשיבות של התקנה מהירה של עדכונים בשרתי אינטרנט פגיעים, אך אינו מעיד על פגם בביטקוין עצמו.
Neutral
לתקרית אין השפעה ישירה על הפרוטוקול, ההיצע או עיבוד העסקאות של ביטקוין, ולכן השפעתה הצפויה על השוק היא ניטרלית. הסכום שנגנב, 0.02511679 BTC—כ-2,021 דולר באותה עת—זניח ביחס לגודל השוק של ביטקוין, וסביר שלא יזיז את המחירים או ישפיע באופן מהותי על יציבות השוק. סוחרים עשויים להפנות תשומת לב קצרה לסיפור משום שהוא עוסק בחשיפת מפתח של ארנק באמצעות ניצול חולשת תוכנה, אך הפגיעוּת הייתה בשרת PHP שלא הותקן בו עדכון אבטחה, ולא בביטקוין. כמו באירועי אבטחה קודמים בבורסות או בארנקים, השפעות שוק רחבות יותר יהיו סבירות יותר אם יהיו ראיות לפגיעה נרחבת, להפסדים משמעותיים או לשיבושים בזירות מסחר מרכזיות. בטווח הקצר, הסיפור עשוי לעורר דיון באבטחה תפעולית ובעדכון תוכנות. בטווח הארוך, הוא מדגיש את הצורך באחסון מאובטח של מפתחות ובעדכונים בזמן, בלי לשנות את התזה להשקעה ב-BTC, אלא אם ראיות נוספות יקשרו את הפגיעוּת לתשתיות קריפטו בהיקף נרחב.