Steal My Bitcoin : Un Pentester Empoche 2000 Dollars

Imaginez un coffre-fort laissé grand ouvert au milieu d’Internet, avec une liasse de billets à l’intérieur et une affiche qui dit simplement « aidez-vous ». C’est exactement ce qu’a fait le chercheur en sécurité James Pavur le samedi 24 octobre. Il a déployé un serveur PHP volontairement vulnérable, y a placé un wallet bitcoin et a lancé un défi en trois mots : volez mon bitcoin. Moins de vingt heures plus tard, un pentester de 26 ans installé au Royaume-Uni repartait avec les clés et environ 2000 dollars.

Un Défi Qui A Fait Grimper La Prime En Un Week-End

Le principe était radicalement simple. Plus de plateforme de bug bounty, plus de formulaire à remplir, plus de comité qui décide si la faille mérite une récompense. Le premier qui réussissait à exécuter du code sur la machine se servait lui-même. La blockchain faisait office de preuve et de procès-verbal. Pavur avait mis 500 dollars au départ. La communauté a aimé l’idée au point de quadrupler la mise en quelques jours. Mercredi 28 octobre, le montant atteignait 2000 dollars, soit environ 0,025 bitcoin au cours de l’époque autour de 80 500 dollars.

Le gagnant s’appelle Jaydip Modhwadia. Il développe et teste des systèmes de sécurité sous le pseudonyme Killa. Le compteur du site affichait « My Bitcoin was stolen after 19.28 hours ». Lui-même relativise : il a passé « trois heures environ au total » sur le problème. Pavur avait ajouté un point d’entrée PHP nécessaire à l’exploit vers 13 heures UTC le 25 octobre. L’exécution de code à distance est tombée à 15 heures 47 UTC. La charge utile tient dans un unique script Python et moins de vingt requêtes HTTP. Le code est public sur GitHub.

La sécurité est un processus, pas un produit.

Bruce Schneier, Secrets and Lies, 2000

Cette citation résume parfaitement l’esprit de l’expérience. Pavur n’a pas voulu prouver qu’une faille existait. Il a voulu montrer à quelle vitesse elle peut être exploitée une fois qu’elle est connue, et comment une communauté motivée peut transformer un simple défi en véritable opération de sensibilisation.

Comment Le Pentester A Contourné Les Protections

Le script de Modhwadia contourne principalement l’ASLR, cette protection qui mélange aléatoirement les adresses mémoire d’un programme pour compliquer la vie des attaquants. En quelques requêtes bien calibrées, il a obtenu une exécution de code à distance. Rien de magique, rien de zero-day ultra sophistiqué. Juste une exploitation propre de failles déjà connues et un travail méthodique. Trois heures de concentration ont suffi.

Ce qui frappe, c’est la légèreté de l’attaque. Moins de vingt requêtes web. Un fichier Python unique. Pas de malware lourd, pas de chaîne d’exploitation de plusieurs dizaines d’étapes. Juste la démonstration qu’une machine mal patchée peut tomber très vite entre des mains compétentes.

Une Partie Du Gain Pour La Lutte Contre Le Lupus

Modhwadia a annoncé qu’il reverserait une partie de la somme à la Lupus Foundation. Il souffre lui-même de cette maladie auto-immune. Le geste rappelle d’autres histoires où des acteurs de la sécurité ou du piratage éthique ont choisi de redonner plutôt que de simplement encaisser. En 2021, le hacker de Poly Network avait remis en jeu une prime après avoir rendu des centaines de millions. Ici, l’échelle est plus modeste, mais le message reste le même : la compétence technique peut aussi servir une cause.

Ce détail humain change la perception de l’événement. On n’est plus seulement face à un exercice technique. On voit un jeune professionnel qui transforme une victoire en contribution. Dans un secteur souvent accusé d’être purement mercantile, ce type de geste marque les esprits.

PHP2Shell : Deux Failles Qui Touchent Des Millions De Serveurs

Les deux vulnérabilités, CVE-2026-109618 et CVE-2026-109619, concernent toutes les versions de PHP depuis la 5.4. Autrement dit, une part énorme du web mondial. Au moment des correctifs d’urgence du 21 octobre, Censys recensait 2,58 millions d’hôtes exposés et 54,9 millions de propriétés web sous PHP. Quelques jours plus tard, malgré les patchs, 32,51 millions de services PHP tournaient encore sur une version vulnérable.

Les versions corrigées existent : PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Pourtant la mise à jour n’est pas toujours immédiate. Beaucoup d’administrateurs hésitent, d’autres ne suivent pas les annonces, certains hébergent des applications anciennes difficiles à migrer. Résultat : des dizaines de millions de machines restent exposées.

CISA a ajouté les deux CVE à son catalogue des failles activement exploitées le 26 octobre. Note de gravité : 9,2 sur 10. Les agences fédérales américaines avaient jusqu’au 29 octobre pour corriger. La première exécution de code dans la nature avait déjà été détectée sur des pots de miel le 24 octobre, le jour même du lancement de Steal My Bitcoin.

Pourquoi Les Utilisateurs De Crypto Doivent S’en Préoccuper

Votre exchange ne tourne probablement pas sous PHP. Plusieurs plateformes se sont d’ailleurs empressées de le confirmer après l’alerte de Changpeng Zhao. En revanche, le blog qui vous conseille un wallet, le forum où vous lisez des analyses, le site d’actualité que vous consultez chaque matin tournent très souvent sous WordPress, donc sous PHP.

Un serveur compromis peut servir une fausse page de connexion. Il peut aussi remplacer discrètement une adresse de dépôt. Rien ne change à l’écran pour l’utilisateur. Le bitcoin part simplement vers une autre adresse. C’est l’un des scénarios les plus redoutés dans le monde de la crypto : l’attaque silencieuse qui ne déclenche aucune alerte visuelle.

Si vous administrez un site, la mise à jour de PHP prend souvent moins de temps que les trois heures nécessaires à Modhwadia pour entrer. Si vous êtes simple visiteur, méfiez-vous des sites restés en « maintenance » depuis plusieurs jours et vérifiez systématiquement toute adresse de dépôt sur une seconde source indépendante.

Le Rôle De La Communauté Dans L’amplification Du Défi

Ce qui a rendu Steal My Bitcoin particulièrement intéressant, c’est la réaction collective. En quelques heures, des gens ont commencé à envoyer des bitcoins supplémentaires sur le wallet du défi. La mise initiale de 500 dollars a été multipliée par quatre. Ce n’était plus seulement l’argent de Pavur. C’était une cagnotte communautaire.

Ce phénomène montre deux choses. D’abord, qu’une partie de la communauté crypto et sécurité aime les défis concrets et transparents. Ensuite, que la blockchain permet une forme de rémunération immédiate et vérifiable sans intermédiaire. Le premier qui réussit gagne. Pas besoin de négocier, pas besoin d’attendre un jury.

On peut y voir une évolution du bug bounty traditionnel. Les plateformes classiques restent indispensables pour les programmes d’entreprise. Mais pour des démonstrations publiques et des sensibilisations, le modèle « prenez l’argent si vous y arrivez » a un pouvoir pédagogique indéniable.

Ce Que Révèle La Vitesse D’exploitation

Dix-neuf heures entre la mise en ligne et la prise de contrôle. Trois heures de travail effectif. Ces chiffres sont parlants. Ils rappellent que le temps entre la publication d’une faille et son exploitation dans la nature se compte désormais en heures, parfois en minutes.

Les équipes de sécurité n’ont plus le luxe d’attendre la fin du week-end pour appliquer un correctif. Les scanners automatiques et les pentesters motivés sont déjà à l’affût. Dans le cas de PHP2Shell, la première exploitation détectée sur des pots de miel date du 24 octobre, jour du lancement du défi. La fenêtre de vulnérabilité était extrêmement courte.

Pour les administrateurs, le message est clair. La mise à jour doit faire partie du process normal, pas d’une exception. Attendre « d’avoir le temps » revient souvent à offrir une opportunité aux attaquants.

Les Leçons Pour Les Administrateurs De Sites

La première leçon est évidente : patcher. Les versions corrigées de PHP sont disponibles. Les appliquer réduit drastiquement le risque. La seconde leçon concerne la surveillance. Savoir que des exploits circulent permet d’accélérer les décisions. La troisième touche à la culture de sécurité. Beaucoup d’organisations traitent encore les mises à jour comme une corvée plutôt que comme une priorité.

En France, l’ANSSI avait déjà fait couper plusieurs sites institutionnels le temps de corriger des failles critiques. Une faille connexe baptisée Broccoli2Shell a reçu son correctif pour Windows le 26 octobre. Ces interventions montrent que les autorités prennent le sujet au sérieux. Les acteurs privés devraient faire de même.

Pour un site WordPress classique, la mise à jour de PHP et des plugins reste l’une des actions les plus efficaces pour réduire la surface d’attaque. Elle ne coûte presque rien en comparaison d’une compromission.

Un Modèle De Sensibilisation Qui Pourrait Se Répéter

Steal My Bitcoin n’est probablement pas le dernier défi de ce type. L’idée de laisser un serveur volontairement vulnérable avec une récompense en crypto est simple, médiatique et efficace. Elle attire l’attention bien plus qu’un communiqué de presse classique. Elle crée aussi une compétition saine entre chercheurs.

On peut imaginer d’autres variantes. Un wallet Ethereum, un serveur Node.js, une application mobile. Chaque fois que la communauté multiplie la prime, le signal devient plus fort. La sécurité n’est plus seulement l’affaire des spécialistes. Elle devient un sujet collectif.

Bien sûr, ce modèle a ses limites. Il ne remplace pas les programmes de bug bounty structurés. Il ne convient pas à toutes les organisations. Mais pour illustrer concrètement un risque et mobiliser l’attention, il fonctionne remarquablement bien.

Les Risques Réels Pour Les Utilisateurs Quotidiens

Beaucoup d’utilisateurs de crypto pensent être protégés parce qu’ils utilisent un exchange sérieux ou un hardware wallet. C’est vrai pour une partie du parcours. Mais le point faible reste souvent le site intermédiaire. Le tutoriel qui explique comment déposer des fonds. L’article qui compare les wallets. Le forum où quelqu’un partage une adresse.

Si l’un de ces sites est compromis, l’utilisateur peut envoyer ses bitcoins à une adresse contrôlée par un attaquant sans s’en apercevoir. Aucune alerte. Aucune transaction suspecte visible de son côté. Juste un envoi normal vers une adresse qui n’est plus la bonne.

La vigilance reste donc essentielle. Vérifier les adresses sur plusieurs sources. Préférer les sites officiels. Se méfier des pages qui restent longtemps en maintenance. Ces réflexes simples réduisent considérablement le risque.

Ce Que Dit L’événement Sur L’état De La Sécurité Web

PHP équipe encore une part très importante du web. WordPress, Drupal, de nombreux CMS et applications métiers en dépendent. Les failles critiques dans ce langage ont donc un impact systémique. PHP2Shell n’est qu’un exemple de plus. Chaque fois qu’une vulnérabilité de ce niveau apparaît, des millions de sites se retrouvent exposés.

Le problème n’est pas seulement technique. Il est aussi organisationnel. Trop de sites sont gérés sans process de mise à jour clair. Trop d’hébergeurs laissent les versions anciennes par défaut. Trop d’administrateurs sous-estiment la vitesse à laquelle les exploits se propagent.

L’expérience de Pavur met ces réalités en lumière de façon brutale et pédagogique. Un serveur, une faille connue, une récompense. Le résultat arrive en moins d’une journée.

La Place Des Pentesters Dans L’écosystème

Jaydip Modhwadia représente une génération de professionnels qui naviguent entre développement et tests de sécurité. Ils savent écrire du code et le casser. Leur présence est devenue indispensable. Les entreprises qui les embauchent ou les font intervenir en bug bounty gagnent en résilience.

Le fait qu’il ait choisi de rendre public son script et de donner une partie de la prime à une association renforce l’image positive de cette profession. Le pentester n’est pas un pirate. C’est un professionnel qui aide à améliorer les défenses.

Dans un monde où les attaques se multiplient, ces profils sont de plus en plus recherchés. Steal My Bitcoin a offert une vitrine inattendue à l’un d’entre eux.

Les Suites Possibles De L’affaire

On peut s’attendre à voir d’autres chercheurs reprendre l’idée. Des défis similaires pourraient apparaître autour d’autres langages ou d’autres stacks. La communauté crypto, sensible aux questions de sécurité, restera probablement attentive. Les dons qui ont multiplié la prime montrent qu’il existe une volonté de soutenir ce type d’initiatives.

Côté technique, les administrateurs ont encore du travail. 32 millions de services PHP vulnérables, ce n’est pas une situation confortable. Les semaines qui viennent diront si les correctifs se diffusent réellement ou si une partie importante du web reste exposée.

CISA a donné un délai court aux agences fédérales. Les acteurs privés n’ont pas d’excuse pour traîner. Plus le temps passe, plus le risque d’exploitation réelle augmente.

Une Expérience Qui Mélange Technique Et Humanité

Au final, Steal My Bitcoin restera dans les mémoires pour plusieurs raisons. La simplicité du concept. La rapidité de l’exploitation. La réaction de la communauté. Et le geste de Modhwadia envers la Lupus Foundation.

On a trop souvent tendance à séparer le technique et l’humain. Ici, les deux se sont rejoints. Un chercheur a créé un défi. Un pentester l’a résolu. Une maladie auto-immune a bénéficié d’une partie des gains. La blockchain a servi de registre transparent. Et des millions d’administrateurs ont reçu un rappel concret de l’importance des mises à jour.

Dans un secteur où les histoires de hacks se multiplient, celle-ci se distingue par son côté constructif. Personne n’a perdu d’argent involontairement. Tout le monde a pu observer le processus. Et quelques enseignements solides en sont sortis.

Ce Qu’il Faut Retenir Pour La Suite

Les failles PHP2Shell existent. Les correctifs existent aussi. La fenêtre entre les deux se réduit chaque année. Les pentesters compétents sont capables d’exploiter rapidement. Les communautés motivées peuvent amplifier un message de sensibilisation en quelques heures. Et un simple wallet bitcoin peut transformer un exercice technique en événement médiatique.

Pour les administrateurs, le conseil reste le même depuis des années : mettez à jour. Pour les utilisateurs de crypto, la vigilance sur les sites intermédiaires reste de mise. Pour les chercheurs en sécurité, le modèle du défi ouvert avec récompense en crypto a prouvé son efficacité pédagogique.

James Pavur a ouvert la porte volontairement. Jaydip Modhwadia est entré. La communauté a augmenté la mise. Une association a reçu un soutien. Et des millions de serveurs ont reçu un signal d’alarme. Tout cela en un week-end. La sécurité est effectivement un processus, pas un produit. Et ce processus continue.

Les prochaines semaines diront si les leçons ont été retenues. En attendant, le compteur du site Steal My Bitcoin affiche toujours le temps qu’il a fallu pour que quelqu’un prenne les clés. Moins de vingt heures. Trois heures de travail. Deux mille dollars. Et une démonstration claire que le web reste fragile quand les correctifs traînent.