海外の反応
2026年10月26日
【海外の反応】「盗めるビットコイン」賞金2000ドル超のPHP脆弱性検証サイト
「海外の反応」の記事
Hacker Newsに投稿された「Steal My Bitcoin」は、最近話題になっていたPHPの遠隔コード実行(RCE)脆弱性を実際に使える人がいるか試すために作られたサイトだ。サーバーの中にビットコインの秘密鍵を仕込み、エクスプロイトに成功した人がそれを持ち出せる仕組みで、賞金は時間とともに500ドルから2000ドル超まで積み上がった。スレでは、普段「この脆弱性は簡単に突ける」と言っていた人たちが急に静かになったことへの皮肉や、nginxの1MBリクエスト制限・メモリ上限といった構成上の守りで実質的に攻略不能ではないかという技術的な分析が交錯した。
Show HN: 俺のビットコインを盗んでみろ
ここ数日みんなが大騒ぎしていたPHPのRCE(遠隔コード実行)を、実際に使える人がいるのか気になって作ってみた。楽しんでくれ!
出典: stealmybitcoin.com / 元記事はこちら
5
海外の名無しさん
2026-10-24 22:23
これは罠っぽいな。うちには実際に使えるRCEがあって、これに応募すれば獲れるんだけど、それを見せると自分たちが作ったものが他に漏れるリスクがあるから出したくない。まだパッチを当てる猶予期間があるから、そこを危険にさらしたくない。
6
海外の名無しさん
2026-10-25 00:19
そうそう、この構成自体はPHP2SHELLには脆弱じゃない。CLIサーバー+1MiB制限+無害なページ+高いメモリ上限という組み合わせで、2つのCVEの可能性が全部潰されてる。これだと実際に脆弱な構成向けのPOCを集めるだけになる。
10
海外の名無しさん
2026-10-24 22:26
『このPHPの脆弱性なんて赤ちゃんでも突けるレベル』って言ってた連中が、実際に披露する機会が来た途端に急に黙り込んでるのが笑える。『余裕でできるけど、えー……今はちょっとやりたくないかな、じゃあね』みたいなのが山ほど出てる。
12
海外の名無しさん
2026-10-24 21:03
『野良で容易に使える脆弱性がある』という主張を反証可能にする、いい方法だな。
14
海外の名無しさん
2026-10-25 00:23
サイトが落ちた場合のためにウォレットのリンクを貼っておく。現在2000ドル相当。
16
海外の名無しさん
2026-10-24 22:49
素晴らしいスレ。自分がやる前にやってくれて助かった。『簡単な脆弱性』のはずなのに、みんな急に口をつぐんでるのが最高に笑える。ありがとう。
17
海外の名無しさん
2026-10-24 21:12
nginxでリクエストボディを1MBに制限してるせいで難易度が上がってるな。いいアイデアだ:)
18
海外の名無しさん
2026-10-25 13:03
あーもう、動くRCE持ってたのに犬に食われちゃったよ。
19
海外の名無しさん
2026-10-24 21:55
いかにも怪しい暗号資産の秘密鍵をあちこちに忍ばせておくの、面白いセキュリティ手法になりそう。それが回収されたら侵入された証拠になる。
20
海外の名無しさん
2026-10-24 22:18
1000人が500ドルの賞金を狙って100ドル分のトークンを溶かした末に諦める、という状況を想像してみてほしい。そのうち1人だけ運よく正解の推論に当たって、『100ドルで500ドル稼いだ』ってブログを書く、みたいな展開になりそう。
21
海外の名無しさん
2026-10-24 21:30
この『お約束』への本気度、好きだわ。
24
海外の名無しさん
2026-10-24 22:22
アカウントには今1000ドルくらい入ってる。このコメントを書いた7分後くらいに2回目の入金があった。追記: 今は2000ドル相当になってる。
25
海外の名無しさん
2026-10-25 00:54
負荷で落ちてるサーバーはハッキングできない。これでオンラインセキュリティ問題は解決だな!
26
海外の名無しさん
2026-10-24 21:18
実際に使えるエクスプロイトを持ってる人がいたとして、このハニーポットを監視してる誰かにタダで見せるほどの価値が500ドルにあるのか?
27
海外の名無しさん
2026-10-25 14:39
これって実質、Cloudflareのゼロデイに2000ドル出してるようなもの。このサービスを突くにはまずCloudflareを回避する必要があるから。
28
海外の名無しさん
2026-10-25 00:18
額が増えてる!1時間前は500ドルだったのに今は2000ドルになってる。自分は速さが足りないと思って手を出さなかった。
29
海外の名無しさん
2026-10-24 20:57
いいCTFだな!もしLLMに攻略されたら、どうやったのかの解説を読みたい。
30
海外の名無しさん
2026-10-24 22:25
誰かがビットコインの額を倍にしたぞ:D
31
海外の名無しさん
2026-10-25 13:11
かなり近づいてる気がする、みんな。応援してくれ!
34
海外の名無しさん
2026-10-24 21:25
これ好きだわ、すごく楽しい。
35
海外の名無しさん
2026-10-24 21:17
PHP 8.4.26(とnginx)で動いてる。他の人の参考になるかも。それと、見つけたページは全部静的で、実際のPHPのエントリーポイントではなさそう。PHPを実行してないならPHP2Shellには脆弱じゃないはず。少なくとも自分の理解だとそうなる。
36
海外の名無しさん
2026-10-25 05:23
サーバーが今応答してない(2026-10-25T05:30:00Z時点)。何があった?ウォレットは2016.73ドル。
37
海外の名無しさん
2026-10-24 21:31
これどのくらい突けるものなのか気になってた。絶対に見守る。
39
海外の名無しさん
2026-10-25 01:22
割に合わない。最大の問題はnginxの1MB制限。それに規約でnginx自体を突くのは禁止されてるから、詰んでる。
40
海外の名無しさん
2026-10-24 22:34
これって『PHPは大丈夫です』ってアピールするための広報活動なのか?
41
海外の名無しさん
2026-10-25 04:15
サイトが504 Gateway Timeoutを返す。攻略の方で何か動きあった?
42
海外の名無しさん
2026-10-24 21:24
鍵が本当にサーバー上にあるという証明がされてない。ゲーム理論的に言えば、そこにあると信じる理由がない以上、攻撃する理由もない。
43
海外の名無しさん
2026-10-25 01:57
賞金が2000ドルまで上がってる、誰かやらないのか?ただサイトは落ちてるけど。
44
海外の名無しさん
2026-10-24 23:04
これって、エクスプロイトが使われたら『記録』されて後で暴露される、みたいな仕組みにできるって理解で合ってる?
45
海外の名無しさん
2026-10-25 09:36
それでも法的には『窃盗』になるんだよな?台帳は常に公開されてるから、連邦捜査当局は盗んだ人をずっと見てられる。
46
海外の名無しさん
2026-10-24 22:04
AIに修正を含む最新のプルリクエストを見せて、そこから脆弱性を逆算させればいいだけじゃないのか?
47
海外の名無しさん
2026-10-24 22:39
ウォレットアドレスはbc1qlnu50y4zm0nwxkckxu09thn5xdcz8aw6t3cxqy。現在だいたい500ドル相当(残高確認済み)。
48
海外の名無しさん
2026-10-24 21:38
Heartbleedのときにも似たような企画があったのを思い出した。
49
海外の名無しさん
2026-10-24 21:07
面白いアイデアだ!どのくらい時間がかかるものなのか知りたい。
50
海外の名無しさん
2026-10-25 01:51
これってビットコインの秘密鍵が『4』ってことじゃないの?
52
海外の名無しさん
2026-10-24 22:18
賞金がちょうど倍になったみたいで、今1000ドルになってる。
53
海外の名無しさん
2026-10-24 22:16
誰かがさらに500ドルくらい追加したっぽい?
54
海外の名無しさん
2026-10-24 21:50
Anthropicがこれにopus 5.5を使わせてくれないのが地味にきつい。4.8に戻されるのがダサい。
73
海外の名無しさん
2026-10-25 14:08
>>2
91
海外の名無しさん
2026-10-25 15:58
>>73
この話題の背景と論点
この企画の背景には、PHPのCGI/FastCGI実装に見つかった遠隔コード実行(RCE)脆弱性が、投稿前の数日間セキュリティ界で話題になっていたことがある。作者は「簡単に突ける」という主張を検証可能にするため、秘密鍵を賞金として埋め込んだサーバーを公開した。スレで割れたのは、本当に攻略可能かという技術的な見立てだ。nginxの1MBリクエスト制限や高いメモリ上限、PHPを実行しない静的ページ構成などから「この構成自体は対象のCVEに該当しない」という分析が目立ち、実質的には実在の脆弱なサーバー向けのPOCを収集する罠ではないかという見方も出た。賞金は時間とともに500ドルから2000ドル超まで増えたが、これは善意の第三者が追加した寄付によるもので、サーバー側が用意した額ではない。なお「盗んだ」としても取引はブロックチェーン上で公開され続けるため、法的な追跡は免れないという指摘もあった。
※本記事は海外掲示板 Hacker News のスレッド「Show HN: Steal My Bitcoin 」から抜粋し、編集部で日本語に意訳したものです。訳文の責任は当サイトにあります。
続けて読む（海外の反応）
この記事のリアクション
😆 おもしろい 0 😮 びっくり 0 😢 かなしい 0 👍 わかる 0 😠 ひどい 0
まだコメントはありません。