PHP2Shell 漏洞引發「Steal My Bitcoin」公開挑戰，黑客成功攻陷伺服器奪取獎金

近日多個嚴重網絡漏洞相繼曝光，當中影響大量 PHP 網站的遠端程式碼執行問題（社群常稱 PHP2Shell，公開編號包括 CVE-2026-109618、CVE-2026-109619）最受關注。

討論正熱之際，有人質疑漏洞只屬理論層面、並架起公開挑戰站 stealmybitcoin.com，在故意未修補的伺服器上放置與 Bitcoin 相關的密鑰材料，並以鏈上獎池作 reward，邀請外界來取。

這場 Steal my Bitcoin 挑戰由 Hacker News 帳號 cloudlandsdev 發起，屬公開 CTF，而非交易所或獎賞平台事故。獎池隨公眾加注升至約 0.02511679 BTC（約二千美元）。官網顯示挑戰運行約 19.28 小時後結束；勝出時間為 2026 年 10 月 25 日 15:47 UTC，即香港時間同日晚上 11 時 47 分，由公開帳號 @killa（HN：killaonx）取勝。主辦其後確認，伺服器上原先放的是 wallet-branch 金鑰，而非注資地址本身的金鑰，經核實後才人工轉出獎池。挑戰地址 bc1qlnu50y4zm0nwxkckxu09thn5xdcz8aw6t3cxqy 其餘額其後歸零，鏈上轉出略晚於官網標示的勝出時刻，與「先核實再轉帳」相符。

Crypto HK 在此提醒各位用戶及合作夥伴，對外應用程式一旦踩中已知高危元件，修復窗口以小時計；可動用資金的密鑰不應與對外網站或 API 主機放在同一信任域。任何交易宜採離線簽署、託管或嚴格最小權限，並盡速套用官方修補。

參考資料：https://stealmybitcoin.com/ 、https://news.ycombinator.com/item?id=50224916 、https://mempool.space/address/bc1qlnu50y4zm0nwxkckxu09thn5xdcz8aw6