Die Herausforderung von „Steal My Bitcoin“
Eine Website fordert Hacker heraus, 2.000 US-Dollar in Bitcoin zu stehlen, doch bisher hat niemand den Preis eingelöst. Eine unabhängige Untersuchung deutet darauf hin, dass die angeblich verwundbare Herausforderung möglicherweise unmöglich zu knacken ist, was die unangenehme Frage aufwirft: Ist das Spiel manipuliert?
Die Mission
Willkommen bei „Steal My Bitcoin“, wo die üblichen Regeln der Cybersicherheit auf den Kopf gestellt wurden. Anstatt Hacker fernzuhalten, lädt die Website sie ein, bietet eine Bitcoin-Prämie an und fordert sie heraus, diese zu erlangen. Die Mission klingt lächerlich einfach: Nutze eine absichtlich verwundbare PHP-Installation aus, finde einen versteckten Bitcoin-Privatschlüssel und leere das Wallet. Der erste erfolgreiche Hacker erhält das Geld.
Der Preis begann bei etwa 500 US-Dollar, bevor Spenden ihn auf etwa 2.000 US-Dollar trieben, was ungefähr 0,025 BTC entspricht. Stand Ende 25. Oktober 2026 blieb das Wallet nach mehr als 17 Stunden Berichten zufolge unberührt.
Regeln und Einschränkungen
Es gibt jedoch Regeln: Die Teilnehmer müssen ihre Angriffe auf die Webanwendung und den PHP-Container beschränken. Angriffe auf den zugrunde liegenden Host, Sabotage der Infrastruktur oder Überlastung des Servers sind verboten. Alle Aktivitäten werden protokolliert.
Die Sicherheitsanfälligkeiten
Die Herausforderung bewirbt PHP 8.4.26, eine Version, die zwei kritischen Sicherheitsanfälligkeiten ausgesetzt ist, die zusammen als PHP2Shell bezeichnet werden. Beide Schwachstellen haben Schweregradwerte von 9,2, und Notfall-Patches wurden am 21. Oktober veröffentlicht. Die Schwachstellen, CVE-2026-109618 und CVE-2026-109619, betreffen Fehler im Speicher-Management, die potenziell die Ausführung von Remote-Code ermöglichen können. In bestimmten Konfigurationen könnten Angreifer Befehle ohne Authentifizierung ausführen.
Die Untersuchung
„Die Herausforderung könnte in gutem Glauben betrieben werden, aber die Ergebnisse sind möglicherweise falsch.“
Eine Person, die die Herausforderung untersucht hat, stellte öffentlich in Frage, ob ihre Konfiguration tatsächlich eine ausnutzbare Angriffsfläche bietet. Diese Person identifizierte nginx und PHP 8.4.26 durch HTTP-Antwort-Header, bestätigte unabhängig einen Fingerabdruck von PHP 8.2 oder neuer und verglich das Verhalten des Servers mit lokalen Testumgebungen.
Die Analyse erhob eine noch provokativere Möglichkeit in Bezug auf den Einstiegspunkt der Website. Ihre Antworten schienen mit dem integrierten Server von PHP übereinzustimmen, der eine statische index.html-Datei liefert, anstatt ein index.php-Skript auszuführen. Wenn diese Interpretation zutrifft, könnten die beworbenen Schwachstellen möglicherweise nicht über die erlaubte Angriffsfläche der Herausforderung erreicht werden. Das würde den Wettbewerb grundlegend verändern.
Fazit
Für den Moment präsentiert „Steal My Bitcoin“ ein zunehmend kurvenreiches Spektakel: Eine öffentlich beworbene Bitcoin-Prämie, eine Menge potenzieller Hacker und ein wachsendes Misstrauen, dass das digitale Vault möglicherweise nicht einmal eine zugängliche Tür hat. Die zugrunde liegenden PHP-Schwachstellen sind real, und Administratoren, die betroffene Versionen betreiben, müssen ihre Systeme weiterhin patchen.
Diese Woche berichteten die Geschichten über sich verändernde Marktsignale, DeFi-Expansion, institutionelles Staking, Risikokapital und Cybersicherheit. Uniswap fand einen Weg, um…
