黑客利用未修复漏洞夺取比特币悬赏奖励

10月26日，知名安全研究员killa（GitHub名KillaBoi）通过利用近期披露的PHP远程代码执行漏洞（CVE-2026-109618、CVE-2026-109619），成功入侵公开悬赏网站stealmybitcoin[.]com，提取出价值约2021美元的0.02511679枚比特币奖金。

漏洞验证挑战应声而起，快速引发实战响应

该漏洞于10月20日首次披露，但因缺乏可运行的攻击样本，一度引发行业关注却未见实际利用。为验证其真实威胁性，一名匿名开发者于10月24日搭建了专门测试平台，故意使用未打补丁的旧版PHP环境，并设置初始500美元奖金，吸引攻击者参与。随着社区捐赠持续注入，奖金总额升至约2000美元。

攻击代码迅速成型，私钥暴露揭示配置缺陷

挑战开启约19.5小时后，killa完成攻击脚本开发，成功获取服务器私钥并实现完全控制。随后，他在GitHub上公开完整的漏洞利用演示代码（PoC）。网站创建者在确认结果后表示，此次事件暴露出自身在密钥存放环节的重大疏漏，承认存在人为失误导致安全边界失效。