Steal My Bitcoin: En Uvanlig Utfordring
En nettside ber praktisk talt hackere om å stjele $2,000 i Bitcoin, men ingen har klart å samle inn premien. Nå antyder en uavhengig undersøkelse at den angivelig sårbare utfordringen kan være umulig å knekke, noe som reiser et pinlig spørsmål: Er spillet rigget?
Utfordringen
Velkommen til Steal My Bitcoin, hvor cybersikkerhetens vanlige regler er snudd på hodet. I stedet for å holde hackere ute, inviterer nettsiden dem inn, tilbyr en Bitcoin-belønning og utfordrer dem til å ta den. Oppdraget høres latterlig enkelt ut: Utnytt en bevisst sårbar PHP-installasjon, hent en skjult Bitcoin privatnøkkel og tøm lommeboken. Den første vellykkede hackeren får pengene.
Premien startet på rundt $500 før donasjoner presset den opp mot $2,000, omtrent 0.025 BTC. Per slutten av 25. oktober 2026 rapporteres det at lommeboken forble urørt etter mer enn 17 timer på nett.
Regler for Deltakelse
Det er imidlertid regler. Deltakere må begrense angrepene sine til webapplikasjonen og PHP-containeren. Å angripe den underliggende verten, sabotere infrastrukturen eller overbelaste serveren er forbudt. All aktivitet blir loggført.
Sårbarhetene
Utfordringen annonserer PHP 8.4.26, en versjon som er sårbar for to kritiske sikkerhetsfeil samlet kalt PHP2Shell. Begge har alvorlighetsgrad på 9.2, og nødoppdateringer kom 21. oktober. Sårbarhetene, CVE-2026-109618 og CVE-2026-109619, involverer feil i minnehåndtering som potensielt kan tillate fjernkodekjøring. I visse konfigurasjoner kan angripere utføre kommandoer uten autentisering.
Undersøkelsen
En person som undersøkte utfordringen stilte offentlig spørsmål ved om konfigurasjonen faktisk eksponerer et utnyttbart angrepspunkt.
Personen identifiserte nginx og PHP 8.4.26 gjennom HTTP-responsoverskrifter, bekreftet uavhengig et PHP 8.2-eller-nyere fingeravtrykk og sammenlignet serverens oppførsel med lokale testmiljøer. Etter først å ha vurdert nginx sammen med PHP-FPM eller Apache, pekte analysen mot noe uventet: Den nærmeste atferdsmatchen så ut til å være nginx som videresender forespørslene til PHPs innebygde kommandolinje-webserver.
Analysen reiste en enda mer provoserende mulighet angående nettsidens inngangspunkt. Dens svar så ut til å være konsistente med PHPs innebygde server som leverer en statisk index.html-fil i stedet for å kjøre et index.php-skript. Hvis den tolkningen er korrekt, kan de annonserte sårbarhetene ikke være tilgjengelige gjennom utfordringens tillatte angrepsflate. Det ville fundamentalt endre konkurransen.
Konklusjon
Hackere ville ikke nødvendigvis feile i å utnytte to kritiske feil. De kan angripe et miljø der de nødvendige forholdene aldri materialiserer seg. Personen bak undersøkelsen stilte spørsmål ved om utfordringen opererte i god tro, men anerkjente at funnene kunne være feil og ønsket korreksjoner velkommen.
Viktig er det at responsfingeravtrykk alene ikke kan fastslå serverens komplette arkitektur eller bevise at utnyttelse er umulig. Likevel forblir hypotesen uverifisert. I mellomtiden er de underliggende PHP-sårbarhetene reelle, og administratorer som kjører berørte versjoner må fortsatt oppdatere systemene sine.
For nå presenterer Steal My Bitcoin et stadig mer nysgjerrig skue: En offentlig annonsert Bitcoin-belønning, en mengde potensielle hackere og en voksende mistanke om at den digitale banken kanskje ikke har en tilgjengelig dør i det hele tatt.
