Introducción
Un sitio web está prácticamente suplicando a los hackers que roben $2,000 en Bitcoin; sin embargo, hasta ahora, nadie ha reclamado el premio. Un examen independiente sugiere que el desafío, supuestamente vulnerable, podría ser imposible de crackear, planteando una incómoda pregunta: ¿Está el juego amañado?
El Desafío de Steal My Bitcoin
Bienvenidos a Steal My Bitcoin, donde las reglas habituales de la ciberseguridad se han invertido. En lugar de mantener a los hackers fuera, el sitio web los invita a entrar, ofrece una recompensa en Bitcoin y los desafía a tomarla. La misión suena ridículamente simple: explotar una instalación de PHP deliberadamente vulnerable, recuperar una clave privada de Bitcoin oculta y vaciar la billetera. El primer hacker exitoso se lleva el dinero.
El premio comenzó alrededor de $500 antes de que las donaciones lo empujaran hacia los $2,000, aproximadamente 0.025 BTC. A finales del 25 de octubre de 2026, la billetera supuestamente permanecía intacta después de más de 17 horas en línea.
Reglas del Desafío
Sin embargo, hay reglas. Los participantes deben restringir sus ataques a la aplicación web y al contenedor PHP. Atacar el host subyacente, sabotear la infraestructura o abrumar el servidor está prohibido. Toda la actividad se registra.
Vulnerabilidades en PHP
El desafío publicita PHP 8.4.26, una versión vulnerable a dos fallas de seguridad críticas, colectivamente denominadas PHP2Shell. Ambas tienen puntajes de severidad de 9.2, y los parches de emergencia llegaron el 21 de octubre. Las vulnerabilidades, CVE-2026-109618 y CVE-2026-109619, involucran fallas en la gestión de memoria que pueden permitir potencialmente la ejecución remota de código. En ciertas configuraciones, los atacantes podrían ejecutar comandos sin autenticación.
Cuestionamientos sobre la Explotabilidad
Pero aquí es donde la historia toma un giro peculiar. Una persona que examinó el desafío cuestionó públicamente si su configuración realmente expone una superficie de ataque explotable. Esta persona identificó nginx y PHP 8.4.26 a través de los encabezados de respuesta HTTP, confirmó de manera independiente una huella de PHP 8.2 o más reciente y comparó el comportamiento del servidor con entornos de prueba locales.
Después de considerar inicialmente nginx emparejado con PHP-FPM o Apache, el análisis apuntó hacia algo inesperado: la coincidencia de comportamiento más cercana parecía ser nginx reenviando solicitudes al servidor web de línea de comandos integrado de PHP. El análisis planteó una posibilidad aún más provocativa con respecto al punto de entrada del sitio web. Sus respuestas parecían consistentes con el servidor integrado de PHP entregando un archivo estático index.html en lugar de ejecutar un script index.php.
Si esa interpretación es precisa, las vulnerabilidades publicitadas podrían no ser accesibles a través de la superficie de ataque permitida del desafío. Eso cambiaría fundamentalmente la competencia. Los hackers no necesariamente estarían fallando en explotar dos errores críticos; podrían estar atacando un entorno donde las condiciones requeridas nunca se materializan.
Conclusiones y Reflexiones
La persona detrás del examen cuestionó si el desafío estaba operando de buena fe, pero reconoció que los hallazgos podrían estar equivocados y dio la bienvenida a correcciones. Es importante destacar que la huella de respuesta por sí sola no puede establecer la arquitectura completa del servidor ni probar que la explotación sea imposible. Aún así, la hipótesis permanece sin verificar.
Mientras tanto, las vulnerabilidades subyacentes de PHP son reales, y los administradores que ejecutan versiones afectadas aún necesitan parchear sus sistemas. Por ahora, Steal My Bitcoin presenta un espectáculo cada vez más curioso: una recompensa en Bitcoin publicitada públicamente, una multitud de hackers potenciales y una creciente sospecha de que la bóveda digital podría no tener una puerta accesible en primer lugar.
Las historias de esta semana cubrieron señales de mercado cambiantes, expansión de DeFi, staking institucional, capital de riesgo y ciberseguridad. Uniswap encontró una manera de…
