Вразливість PHP подолали за 19 годин: викрадено 0,025 BTC
Сервер PHP 8.4.26, який навмисно залишили без оновлень і на якому зберігався приватний ключ біткоїн-гаманця, зламали приблизно через 19,28 години після запуску розробником челенджу «Вкради мої біткоїни». Зловмисник, відомий як KillaBoi, викрав 0,02511679 BTC, які на той час коштували близько 2 021 долара. Челендж мав перевірити, чи можна на практиці скористатися нещодавно розкритою вразливістю PHP, що дає змогу віддалено виконувати код. Спочатку на сервері не було доступної ззовні сторінки для виконання PHP; згодом таку сторінку додали, і приблизно через три години сталося проникнення. 21 жовтня PHP випустила екстрені виправлення, зокрема PHP 8.4.27. Цей інцидент підкреслює важливість своєчасного встановлення виправлень на вразливих вебсерверах, але не свідчить про наявність проблеми в самому Bitcoin.
Neutral
Інцидент не має прямого впливу на протокол Bitcoin, його пропозицію чи обробку транзакцій, тож імовірний вплив на ринок буде нейтральним. Викрадені 0,02511679 BTC — приблизно 2 021 долар на той час — є незначною сумою порівняно з масштабом ринку Bitcoin і навряд чи вплинуть на ціни чи суттєво позначаться на стабільності ринку. Трейдери можуть ненадовго звернути увагу на цю історію, адже через програмну вразливість було розкрито ключ гаманця, однак вразливість містилася в неоновленому PHP-сервері, а не в Bitcoin. Як і в попередніх інцидентах безпеки, пов’язаних із біржами або гаманцями, ширший вплив на ринок був би ймовірнішим за наявності доказів масштабного зламу, значних втрат або перебоїв у роботі великих торговельних майданчиків. У короткостроковій перспективі ця історія може спонукати до обговорення операційної безпеки та встановлення програмних виправлень. У довгостроковій перспективі вона підкреслює потребу в безпечному зберіганні ключів і своєчасному оновленні програмного забезпечення, не змінюючи інвестиційної тези щодо BTC, якщо тільки подальші докази не пов’яжуть цю вразливість із криптоінфраструктурою в масштабах галузі.