یک محقق امنیتی که با نام مستعار «Killa» شناخته می‌شود، با اجرای موفقیت‌آمیز کد روی سرور چالش «بیت‌کوین من را بدزد» در تاریخ ۲۵ اکتبر، توانست اعتبارنامه یک کیف پول مخفی را استخراج کند. این آزمایش توجهات را به ادعاهایی جلب کرد که می‌گفتند هوش مصنوعی، بهره‌برداری از نقص‌های امنیتی جدی را آسان‌تر کرده است.
جیمز پاوور، اپراتور این چالش، حمله موفقیت‌آمیز را تأیید کرد و گفت که لاگ‌های سرور، یافته‌های این محقق را پشتیبانی می‌کنند. با این حال، این نتیجه پس از آن به دست آمد که مشکلات مربوط به پیکربندی اولیه چالش، کارشناسان امنیتی را به این سوال واداشته بود که آیا این آزمایش به طور معناداری آسیب‌پذیری اصلی را می‌سنجد یا خیر.
تردیدها در مورد یک چالش ناقص
این رقابت به دنبال افشای دو آسیب‌پذیری حیاتی PHP با شناسه‌های CVE-2026-109618 و CVE-2026-109619 در تاریخ ۲۱ اکتبر برگزار شد. به گفته محققان، این آسیب‌پذیری‌ها می‌توانند به مهاجمان اجازه دهند کد را از راه دور روی سرورهای آسیب‌پذیر اجرا کنند. این اکتشافات منجر به هشدارهای فوری از سوی مدیران امنیتی ارزهای دیجیتال و انتشار به‌روزرسانی‌های اضطراری نرم‌افزار شد.
چالش بیت‌کوین به یک آزمون عمومی برای این هشدارها تبدیل شد، اما مقاومت ظاهری آن در برابر حملات اولیه، تردیدهایی را در مورد سهولت بهره‌برداری از این آسیب‌پذیری‌ها ایجاد کرد.
پاوور در ابتدا چالش را طوری پیکربندی کرده بود که صفحات HTML معمولی را از طریق وب‌سرور داخلی PHP ارائه دهد، که این امر توانایی مهاجمان برای دسترسی به عملکرد آسیب‌پذیر را محدود می‌کرد. این تنظیمات با انتقاد محققان امنیت سایبری مواجه شد که معتقد بودند مقاومت اولیه سرور، شواهد کمی در مورد قابلیت بهره‌برداری از این نقص‌ها ارائه می‌دهد.
موهان «s1r1us» پداپاتی، هکر اخلاق‌گرا و هم‌بنیان‌گذار Hacktron، هشدار داد که بحث‌های پیرامون این رقابت ممکن است کسب‌وکارها را تشویق کند تا تهدید امنیتی را دست‌کم بگیرند.
فکر نمی‌کنم شما صراحتاً به مردم بگویید که وصله‌های امنیتی را نصب نکنند. اما استفاده از یک چالش حل‌نشده با پیکربندی نادرست به عنوان مدرکی برای اغراق‌آمیز بودن آسیب‌پذیری، می‌تواند به افراد اعتماد به نفس کاذب بدهد و باعث شود نصب وصله‌ها را به تأخیر بیندازند.
Mohan “s1r1us” Pedhapati
پداپاتی استدلال کرد که این چالش در ساعات اولیه خود غیرواقعی بود، زیرا ترافیک سنگین، سرور تک‌رشته‌ای PHP را تحت فشار قرار داده و بهره‌برداری موفق را به طور غیرعادی دشوار کرده بود.
نفوذ سریع پس از تغییر پیکربندی
پاوور متعاقباً مشکل پیکربندی را پذیرفت و تأیید کرد که در حدود ساعت ۱۳:۰۰ به وقت جهانی (UTC) در ۲۵ اکتبر، یک صفحه PHP قابل دسترس به سرور اضافه کرده است. حمله موفقیت‌آمیز در ساعت ۱۵:۴۷:۳۸ به وقت جهانی، یعنی کمتر از سه ساعت پس از این تغییر، رخ داد.
محقق برنده بعداً یک اثبات مفهوم (proof of concept) در گیت‌هاب منتشر کرد که فرآیند بهره‌برداری و یک بازسازی جداگانه از حمله در محیط آزمایشگاهی را توصیف می‌کرد. این گزارش، یک پاسخ موفقیت‌آمیز از سرور حاوی کلید خصوصی بیت‌کوین را مستند کرده است، اگرچه محقق به وجود شکاف‌هایی در سوابق ثبت‌شده از تلاش اصلی اذعان داشت.
شواهد منتشر شده همچنین ثابت نمی‌کند که یک سیستم هوش مصنوعی خودکار این حمله را تکمیل کرده باشد یا سوابق جامعی از نحوه استفاده از مدل‌های هوش مصنوعی در طول تلاش موفقیت‌آمیز ارائه نمی‌دهد.
