باحث أمني مستعار باسم Killa يستخرج المفتاح الخاص لبيتكوين (BTC) من خادم PHP خلال ساعتين و47 دقيقة

Killa يخترق خادم تجربة Steal My Bitcoin

تمكّن باحث أمني يعمل تحت الاسم المستعار Killa من اختراق خادم يعمل بنظام PHP خلال التجربة العلنية المعروفة باسم "Steal My Bitcoin (BTC)"، واستخرج مفتاحاً خاصاً للبيتكوين (BTC) كان مخزناً على ذلك الخادم، غير أن عملات الجائزة نفسها لم تغادر محفظتها إطلاقاً. جاء هذا الاختراق في يوم اثنين هادئ على مستوى أسعار البيتكوين، لكن التجربة التي أدارها المشغّل James Pavur قدمت أقوى عرض حيّ حتى الآن بأن ثغرتَي PHP المُفصح عنهما حديثاً يمكن أن تنتهيا باختراق كامل للخادم وتسريب بيانات اعتماد حساسة. وقد أكّد Pavur وقوع الاختراق عبر سجلات الخادم نفسها، بعد أن حقق Killa تنفيذ التعليمات عن بُعد مساء الأحد 25 أكتوبر 2026، أي بعد نحو ساعتين و47 دقيقة من إضافة صفحة PHP متاحة للوصول إلى الهدف. ثم استعاد الباحث المفتاح المخزّن من استجابات الخادم، ونشر على GitHub تقريراً بإعادة تنفيذ الهجوم يوثّق المسار المؤدي إلى المفتاح ونتائج إعادة تشغيل الهجوم في بيئة اختبار منفصلة. واعترف Killa بأنه لم تُحفظ جميع ترويسات الطلبات والاستجابات الخاصة بالجلسة الحية، وهو ما ترك أجزاء من سلسلة الهجوم دون توثيق. ومع ذلك، جاءت النتيجة النهائية لصالح الدفاع: المفتاح المخزّن على الخادم لم يكن المفتاح المتحكم بعنوان الجائزة، وبذلك لم تُنقل عملات البيتكوين الخاصة بالتجربة أبداً. تقبّل Pavur النتيجة ودفع لـKilla على حِدة ما يعادل 2,000 دولار من البيتكوين. والمفتاح الخاص هو بيانة الاعتماد التي تُخوّل الإنفاق على شبكة إثبات العمل الخاصة بالبيتكوين، أي أن من يحتضنه يستطيع تحريك العملات بمجرد بث معاملة واحدة. وكان Pavur قد راهن بعملات حقيقية لاختبار ما إذا كان بإمكان ثغرتَي PHP أن تتحولاً إلى سلاح عملي، لا أن تبقى وصفاً نظرياً فقط، وقد حسمت سجلات الخادم السؤال المتعلق بصحة الاختراق.

ثغرتا CVE في PHP وتغيير واحد في الإعداد

الثغرتان في صميم هذا الاختبار، هما CVE-2026-109618 وCVE-2026-109619، فُصح عنهما في 21 أكتوبر 2026، وكلتاهما تتيحان لمهاجم خارجي تشغيل تعليمات برمجية عن بُعد على خادم متأثر دون أي مصادقة. تنفيذ التعليمات عن بُعد هو صنف الثغرات الذي يسمح لطرف خارجي بإصدار أوامر على جهاز، فيما يعني غياب المصادقة أنه لا حاجة إلى تسجيل دخول أو أي إجراء من المستخدم. وقد انطلقت التجربة بشكل سيئ بالنسبة لهذه الفرضية؛ إذ قدّم Pavur في البداية صفحات HTML فقط عبر خادم الويب المدمج في PHP، وهو إعداد جعل مسارات الشيفرة المعرضة للثغرة بعيدة المنال فعلياً، بينما أربكت موجة طلبات الاتصال الجهاز نفسه. جادل باحثون في المجال الأمني بأن هذا الإعداد لم يكن قادراً على إثبات خطر الثغرتين ولا على دحضه، وسرعان ما انتشرت رواية منافسة تقول إن مخاطر PHP قد ضُخّمت. وفي الفترة الممتدة من الإفصاح في 21 أكتوبر 2026 حتى اختراق مساء الأحد، لم ينجح أي مشارك في الوصول إلى الشيفرة المعرضة أصلاً. فاستجاب Pavur بإضافة صفحة PHP متاحة للوصول إلى بنية الخادم يوم الأحد. هذا التغيير الواحد في الإعداد فتح سطح الهجوم، وهاجم Killa في أقل من ثلاث ساعات. وحذّر Mohan Pedhapati، الشريك المؤسس في Hacktron، خلال النقاش المحيط بالتجربة من أن تقييم الثغرتين بخطر منخفض لمجرد فشل المحاولات الأولى سيكون خطأ، لأن نتائج الاختبارات السيئة التصميم قد تُستشهد بها لاحقاً كمبرر لتأخير تحديثات أمن الشركات. أما مسألة مساهمة الذكاء الاصطناعي في نجاح الاختراق فما تزال غير مؤكدة: السجل العلني لا يثبت ما إذا كان الاستغلال قد جرى ذاتياً أم بتوجيه بشري. وتمتد الرهانات إلى ما هو أبعد من خادم مسابقة، لأن منصات التداول ومزودي المحافظ وعمليات الحفظ تحتفظ تحديداً بنوع بيانات المصادقة التي تكشفها الثغرتان، فيما يمنح إعادة التنفيذ المنشورة من Killa المدافعين قالباً ملموساً لتدقيق بنيتهم الخاصة.

دروس في الحفظ تتجاوز قيمة الجائزة

تفصل هذه النتيجة بين خطرين كثيراً ما يخلطهما فريق الحفظ. فانكشاف مفتاح مخزّن شيء، والسيطرة على المحفظة التي ينتمي إليه المفتاح شيء آخر، وحال هذا الاختبار الأول فقط. أما المنتجات المبنية على البيتكوين الملفوف فتعتمد على الخطر الثاني، لأن مفتاح جهة الحفظ يتحكم بعملات لا يستطيع المستخدمون استعادتها بأنفسهم. نجت الجائزة لأن المشغّل كان قد خزّن المفتاح الخاطئ على الخادم، وهو دفاع نجح بحسن الحظ في الإعداد لا بتصميم واعٍ. وتأتي هذه الحادثة لتنضم إلى ثغرة محفظة Electrum 4.8.3 الأخيرة بوصفها تذكيراً إضافياً بأن طبقة البرمجيات المحيطة بالبيتكوين ما تزال سطح هجوم حياً.