Güvenlik Araştırmacısı Killa, PHP Sunucusundan Bitcoin (BTC) Özel Anahtarını 2 Saat 47 Dakikada Çıkardı

Killa, Steal My Bitcoin Sunucusunu Aştı

Killa takma adını kullanan bir güvenlik araştırmacısı, halka açık "Steal My Bitcoin (BTC)" deneyi sırasında bir PHP sunucusuna sızdı ve sunucuda saklanan Bitcoin (BTC) özel anahtarını ele geçirdi; ödül olarak konulan coinler ise cüzdanından hiç çıkmadı. Pazartesi günü Bitcoin fiyatı sakin bir seyir izlerken, James Pavur'un yönettiği deney, yakın zamanda açıklanan iki PHP açığının tam bir sunucu ele geçirmeye ve kimlik bilgisi sızmasına yol açabileceğini gösteren bugüne kadarki en net canlı örneği sundu. Killa, 25 Ekim 2026 Pazar gecesi, hedefe erişilebilir bir PHP sayfası eklendikten yaklaşık iki saat kırk yedi dakika sonra uzaktan kod çalıştırma (remote code execution) başardı. Pavur, sızmayı sunucunun kendi kayıtları üzerinden doğruladı. Araştırmacı ardından saklanan anahtarı sunucu yanıtlarından geri elde etti ve GitHub'da bir yeniden üretim yazısı yayımladı; yazıda anahtara giden yol ile saldırının ayrı bir test ortamında yeniden çalıştırılmasının sonuçları belgelendi. Killa, canlı oturumdaki her istek ve yanıt başlığının korunmadığını, dolayısıyla saldırı zincirinin bazı bölümlerinin belgesiz kaldığını kabul etti. Yine de büyük sonuç savunmanın lehineydi: sunucuda duran anahtar, ödül adresini kontrol eden anahtar değildi; deneydeki Bitcoin (BTC) hiçbir zaman taşınmadı. Pavur sonucu kabul etti ve Killa'ya ayrıca yaklaşık 2.000 dolar değerinde BTC ödedi. Özel anahtar (private key), Bitcoin'in proof-of-work ağında harcama yetkisi veren kimlik bilgisidir; elinde tutan kişi yalnızca bir işlem yayınlayarak coinleri hareket ettirebilir. Pavur, PHP açıklarının yalnızca kâğıt üzerinde değil pratikte silah haline getirilip getirilemeyeceğini görmek için gerçek coinleri ortaya koymuştu; sunucu kayıtları da sızmanın gerçek olduğu sorusunu kesin olarak kapattı.

İki PHP CVE'si ve Tek Bir Yapılandırma Değişikliği

Testin merkezindeki açıklar olan CVE-2026-109618 ve CVE-2026-109619, 21 Ekim 2026'da açıklandı ve her ikisi de dışarıdan bir saldırganın, kimlik doğrulaması olmadan etkilenen sunucuda uzaktan kod çalıştırmasına izin veriyor. Uzaktan kod çalıştırma, harici bir tarafın bir makinede komut verebilmesini sağlayan açık sınıfıdır; kimlik doğrulamasız olması ise giriş ya da kullanıcı eylemi gerektirmediği anlamına geliyor. Deney, bu tez için kötü bir başlangıç yaptı. Pavur başlangıçta PHP'nin yerleşik web sunucusuyla yalnızca düz HTML sunuyordu; bu kurulum, açık içeren kod yollarını fiilen erişilemez kılarken bağlantı istekleri akını makinenin kendi dengesini de bozdu. Güvenlik araştırmacıları, bu yapılandırmanın açıkların tehlikesini ne kanıtlayabileceğini ne de çürütebileceğini savundu; kısa süre içinde de PHP risklerinin abartıldığı iddiası taşıyan karşıt bir anlatı yayıldı. 21 Ekim'deki açıklama ile Pazar günkü sızma arasında hiçbir katılımcı açık içeren koda ulaşamadı. Pavur yanıt olarak Pazar günü yığına erişilebilir bir PHP sayfası ekledi. Bu tek yapılandırma değişikliği saldırı yüzeyini açtı ve Killa'nın istismarı üç saatin içinde oturdu. Hacktron kurucu ortağı Mohan Pedhapati, tartışma sırasında erken girişimlerin başarısızlığına dayanarak açıkları düşük riskli saymanın bir hata olacağı uyarısında bulundu; kötü tasarlanmış test sonuçlarının, kurumsal güvenlik güncellemelerini geciktirmek için gerekçe gösterilebileceğini kaydetti. Yapay zekanın başarılı sızmaya katkı verip vermediği ise doğrulanmış değil: istismarın otonom çalıştığı mı yoksa insan yönlendirmesiyle mi yürütüldüğü kamuya açık kayıtlarda netleşmiyor. Riskler bir yarışma sunucusunun çok ötesine uzanıyor; borsalar, cüzdan sağlayıcıları ve saklama (custody) operasyonları tam olarak açıkların ortaya çıkarabileceği türden kimlik doğrulama malzemesi tutuyor ve Killa'nın yayımladığı yeniden üretim yazısı, savunmacılara kendi altyapılarını denetlemek için somut bir şablon sunuyor.

Ödülün Ötesinde Saklama Dersleri

Sonuç, saklama ekiplerinin sık sık birbirine karıştırdığı iki riski birbirinden ayırıyor. Saklanan bir anahtarın ele geçirilmesi ile o anahtarın ait olduğu cüzdanın kontrol edilmesi farklı başarısızlık durumlarıdır ve bu test yalnızca ilkine çarptı. wrapped Bitcoin üzerine kurulan ürünler ikinci duruma muhtaçtır; saklayıcının anahtarı, kullanıcıların kendi kendine geri alamadığı coinleri kontrol eder. Ödülün sağlam kalması, operatörün sunucuya yanlış anahtarı koyması sayesinde oldu; bu savunma tasarımdan değil yapılandırma şansından kaynaklandı. Bu olay, güncel Electrum 4.8.3 cüzdan açığı ile birlikte, Bitcoin (BTC) çevresindeki yazılım yığınının canlı bir saldırı yüzeyi olmayı sürdürdüğünün bir hatırlatıcısı olarak duruyor.