3 小时攻破 PHP 服务器：比特币私钥泄露实验警示

据 Woofun AI 消息，一场名为'Steal My '的公开黑客实验以极具冲击力的结果落幕：攻击者仅耗时 3 小时便成功入侵 PHP 服务器，并提取出存储其中的比特币钱包私钥。

这一事件直接验证了此前披露的两项严重安全漏洞（CVE-2026-109618 及 CVE-2026-109619）具备极高的实战利用价值，表明远程代码执行风险并非理论推演，而是迫在眉睫的现实威胁。虽然最终并未发生比特币资产的直接盗取，但私钥这一核心认证信息的泄露，已足以让所有依赖此类服务器架构的数字资产机构感到脊背发凉。

此次实验的核心争议点在于攻击成功的时间窗口与初始设置的局限性。实验负责人詹姆斯·帕弗最初采用 PHP 内置 Web 服务器提供普通 HTML 页面，这种配置实际上屏蔽了存在漏洞的功能入口，加之大量访问请求的限制，导致初期入侵尝试全面失败，甚至引发外界对漏洞风险评估是否被夸大的质疑。

然而，这种'防御'本质上是配置失误而非安全加固。帕弗在 25 日下午 1 点（UTC 时间）修正了设置，添加了可被访问的 PHP 页面，从而暴露了真实攻击面。Woofun AI 整理数据显示，从配置更改到攻击成功，时间间隔不足 3 小时，具体突破时刻定格在下午 3 点 47 分 38 秒。帕弗通过服务器日志确认了入侵事实，并随后在 GitHub 上公开了重现攻击的代码及详细实验结果，这一透明化处理进一步加剧了行业对 PHP 生态安全性的担忧。

更深层的风险在于攻击者不仅实现了服务器层面的访问，更成功提取了内部存储的比特币私钥。私钥作为控制数字资产钱包资金的唯一凭证，其泄露意味着资金转移权限的彻底丧失。本次实验中，攻击者未能转走奖励资金，纯粹是因为管理员在服务器上存储了错误的私钥，这一'幸运'的失误掩盖了漏洞的致命性。若存储的是真实资产对应的私钥，后果将不堪设想。管理员虽承认攻击成功并另行支付约 2000 美元比特币作为奖励，但这笔小额补偿无法抵消潜在的系统性风险。 联合创始人莫汉·佩达帕蒂严厉警告，企业绝不能因初始实验的失败而低估漏洞危害，更不能将不当的实验结果作为推迟安全更新的借口。当前，关于人工智能在此次攻击中是否自主实施或辅助发现漏洞，尚缺乏确凿证据，但 AI 加速漏洞利用的担忧正逐渐从理论走向现实，这要求开发者必须正视自动化攻击带来的效率提升。

从结构上看，此次事件是对数字资产基础设施安全的一次压力测试。它揭示了一个残酷事实：许多交易平台和钱包服务提供商的服务器配置仍存在严重盲区，尤其是那些需要管理私钥和认证信息的机构，其软件版本更新滞后与安全设置不合理的问题亟待解决。随着攻击手段的日益自动化和智能化，传统的'修补式'安全策略已难以应对。机构必须立即审查所用软件是否存在已知漏洞，并重构服务器安全架构，确保敏感信息不与高风险服务共存。这是继多次重大交易所黑客事件后，行业再次收到的一份严厉警告：在代码层面，任何微小的配置疏忽都可能成为通往资产归零的捷径。