Хакер взломал сервер с PHP2Shell и забрал биткоин-приз в $2021

Хакер под ником KillaBoi взломал уязвимый сервер в рамках публичного эксперимента Steal My Bitcoin и получил приз 0,02511679 BTC ($2021,22). Взлом произошёл 25 октября в 15:47 UTC, примерно через 19,28 часа после старта челленджа, устроенного на базе уязвимостей PHP2Shell (CVE-2026-109618 и CVE-2026-109619).

• Приз вырос с ~$502 до 0,02511679 BTC ($2021,22) за счёт донатов
• Взлом занял около 19,28 часа после запуска челленджа
• Эксплойт использовал переполнение памяти PHP-воркера при multipart-загрузке
• Восстановленный приватный ключ не совпал с адресом приза, средства ушли на кошелёк Kraken