Thử thách hack: Giành lấy ví Bitcoin 500 USD trên máy chủ thử nghiệm

Một dự án có tên Steal My Bitcoin đang tạo ra sân chơi cho những người đam mê bảo mật khi đặt một khóa Bitcoin trị giá khoảng 500 USD trên máy chủ công khai. Ai tìm ra lỗ hổng và chiếm được ví trước sẽ là người chiến thắng. Trang web này nhanh chóng thu hút sự chú ý trên cộng đồng công nghệ, đặc biệt là Hacker News.

Thử thách bảo mật thực tế thay cho lý thuyết

Thay vì những bài kiểm tra bảo mật khô khan, Steal My Bitcoin biến việc săn lỗ hổng thành một cuộc thi có phần thưởng thực. Trang chủ của dự án hiển thị một bộ đếm thời gian với dòng chữ "0.00 giờ không có hack thành công", nghĩa là tính đến thời điểm hiện tại, chưa có ai phá được hệ thống.

Theo mô tả trên trang, có một khóa Bitcoin được giấu trên máy chủ. Khóa này có thể truy cập được từ tài khoản người dùng PHP thông qua một binary có tên print-flag. Điểm đáng chú ý là phiên bản PHP được chọn từ trước khi các lỗ hổng PHP2SHELL CVE được công bố.

Người đầu tiên lấy được ví sẽ thắng. Nếu bạn không cần số tiền đó, hãy cân nhắc quyên góp cho những người cần hơn: givewell.org.

Vì sao thử thách này đáng chú ý?

Đây không phải trò chơi giải đố đơn thuần mà là một bài kiểm tra thực tế về bảo mật máy chủ và quản lý quyền truy cập. Việc sử dụng một phiên bản PHP cũ chưa được vá lỗi cho thấy ban tổ chức muốn người chơi khai thác các lỗ hổng đã biết trong môi trường được kiểm soát.

• Mục tiêu rõ ràng: chiếm quyền truy cập vào wallet Bitcoin trị giá khoảng 500 USD.
• Điểm vào được chỉ định: tài khoản PHP và binary print-flag — gợi ý rằng lỗ hổng liên quan đến leo thang đặc quyền hoặc thực thi lệnh.
• Yếu tố thời gian: phiên bản PHP được chọn có chủ đích từ trước khi các CVE của PHP2SHELL xuất hiện, tạo điều kiện cho người chơi khai thác lỗ hổng đã biết.

Với những ai quan tâm đến an ninh mạng, đây là cơ hội thực hành kỹ năng săn lỗ hổng trong một môi trường hợp pháp và có thưởng. Với cộng đồng lập trình viên, thử thách cũng là lời nhắc nhở về tầm quan trọng của việc cập nhật phiên bản phần mềm và siết chặt quyền truy cập trên máy chủ.

Góc nhìn cho người dùng Việt Nam

Ở Việt Nam, các cuộc thi CTF (Capture The Flag) và thử thách bảo mật ngày càng phổ biến trong giới sinh viên công nghệ thông tin và cộng đồng bảo mật. Những sân chơi như Steal My Bitcoin mang đến hình mẫu thú vị: kết hợp phần thưởng tài chính với mục tiêu giáo dục, đồng thời kêu gọi quyên góp cho các tổ chức từ thiện hiệu quả.

Tuy nhiên, người tham gia cũng cần lưu ý rằng việc tấn công vào máy chủ chỉ được phép trong khuôn khổ thử thách đã công bố. Mọi hành vi khai thác ngoài phạm vi này đều có thể vi phạm pháp luật. Với các doanh nghiệp Việt Nam đang vận hành hệ thống PHP, câu chuyện này là lời cảnh báo thiết thực về việc nâng cấp phiên bản và kiểm soát quyền của tài khoản dịch vụ trên máy chủ.