Utmaningen ”Steal My Bitcoin”
En webbplats utmanar hackare att stjäla 2 000 dollar i Bitcoin, men ingen har lyckats samla in priset. Nu tyder en oberoende granskning på att den påstått sårbara utmaningen kan vara omöjlig att knäcka, vilket väcker en besvärlig fråga: Är spelet riggat?
Regler och Utmaningens Struktur
Välkommen till ”Steal My Bitcoin”, där cybersäkerhetens vanliga regler har vänds upp och ner. Istället för att hålla hackare ute, bjuder webbplatsen in dem, erbjuder en Bitcoin-belöning och utmanar dem att ta den. Uppdraget låter löjligt enkelt: Utnyttja en avsiktligt sårbar PHP-installation, hämta en dold Bitcoin privat nyckel och tömma plånboken. Den första framgångsrika hackaren får pengarna.
Priset började runt 500 dollar innan donationer drev det mot 2 000 dollar, vilket motsvarar ungefär 0,025 BTC. I slutet av den 25 oktober 2026 rapporterades plånboken förbli orörd efter mer än 17 timmar online.
Sårbarheter och Granskning
Det finns dock regler. Deltagarna måste begränsa sina attacker till webbapplikationen och PHP-containern. Attacker mot den underliggande värden, sabotage av infrastruktur eller överbelastning av servern är förbjudet. All aktivitet loggas.
Utmaningen annonserar PHP 8.4.26, en version som är sårbar för två kritiska säkerhetsbrister som tillsammans kallas PHP2Shell. Båda har allvarlighetsbetyg på 9,2, och akuta patchar släpptes den 21 oktober. Sårbarheterna, CVE-2026-109618 och CVE-2026-109619, involverar minneshanteringsfel som potentiellt kan tillåta fjärrkodexekvering. I vissa konfigurationer kan angripare exekvera kommandon utan autentisering.
En Provokativ Möjlighet
En individ som granskade utmaningen ifrågasatte offentligt om dess konfiguration faktiskt exponerar en utnyttjbar attackyta.
Personen identifierade nginx och PHP 8.4.26 genom HTTP-svarshuvuden, bekräftade oberoende ett PHP 8.2-eller-nyare fingeravtryck och jämförde serverns beteende med lokala testmiljöer. Efter att först ha övervägt nginx i kombination med PHP-FPM eller Apache, pekade analysen mot något oväntat: Den närmaste beteendematchen verkade vara nginx som vidarebefordrar förfrågningar till PHP:s inbyggda kommandoradswebbserver.
Analysen väckte en ännu mer provokativ möjlighet angående webbplatsens ingångspunkt. Dess svar verkade vara konsekventa med PHP:s inbyggda server som levererade en statisk index.html-fil snarare än att exekvera ett index.php-skript. Om den tolkningen är korrekt, kan de annonserade sårbarheterna vara otillgängliga genom utmaningens tillåtna attackyta. Det skulle fundamentalt förändra tävlingen.
Slutsats och Framtida Utsikter
Hackare skulle inte nödvändigtvis misslyckas med att utnyttja två kritiska buggar. De kan attackera en miljö där de nödvändiga förhållandena aldrig materialiseras. Personen bakom granskningen ifrågasatte om utmaningen fungerade i god tro men erkände att resultaten kan vara felaktiga och välkomnade korrigeringar.
Viktigt är att svarfingeravtryck ensamt inte kan fastställa serverns kompletta arkitektur eller bevisa att utnyttjande är omöjligt. Ändå förblir hypotesen overifierad. Under tiden är de underliggande PHP-sårbarheterna verkliga, och administratörer som kör påverkade versioner måste fortfarande patcha sina system.
För nu presenterar ”Steal My Bitcoin” ett alltmer nyfiket spektakel: En offentligt annonserad Bitcoin-belöning, en folkmassa av blivande hackare och en växande misstanke om att det digitala valvet kanske inte har en tillgänglig dörr från början.
Denne veckas berättelser täckte föränderliga marknadssignaler, DeFi-expansion, institutionell staking, riskkapital och cybersäkerhet. Uniswap hittade ett sätt att…
