Introduction
Un site Web semble presque inviter les hackers à voler 2 000 $ en bitcoins, mais jusqu’à présent, personne n’a réussi à relever le défi. Un examen indépendant suggère que ce défi, censé être vulnérable, pourrait en réalité être impossible à contourner, soulevant ainsi une question délicate : le jeu est-il truqué ? Bienvenue sur Steal My Bitcoin, où les règles habituelles de la cybersécurité sont renversées.
Le défi
Au lieu de tenir les hackers à l’écart, le site les invite à participer, offrant une prime en bitcoins et les défiant de la prendre. La mission paraît ridiculement simple : exploiter une installation PHP délibérément vulnérable, récupérer une clé privée Bitcoin cachée et vider le portefeuille. Le premier hacker à réussir remporte la mise. Le prix a commencé autour de 500 $ avant que des dons ne le fassent grimper à 2 000 $, soit environ 0,025 BTC. À la fin du 25 octobre 2026, le portefeuille était resté intact après plus de 17 heures en ligne.
Les règles du jeu
Cependant, il y a des règles. Les participants doivent limiter leurs attaques à l’application Web et au conteneur PHP. Toute attaque contre l’hôte sous-jacent, sabotage de l’infrastructure ou tentative de submerger le serveur est interdite. Toutes les activités sont enregistrées.
Les vulnérabilités
Le défi annonce PHP 8.4.26, une version vulnérable à deux failles de sécurité critiques, collectivement appelées PHP2Shell. Ces failles ont un score de gravité de 9,2, et des correctifs d’urgence ont été publiés le 21 octobre. Les vulnérabilités, référencées comme CVE-2026-109618 et CVE-2026-109619, concernent des échecs de gestion de la mémoire qui pourraient potentiellement permettre l’exécution de code à distance. Dans certaines configurations, les attaquants pourraient exécuter des commandes sans authentification.
Analyse du défi
Une personne ayant examiné le défi a publiquement remis en question la configuration du site, se demandant si elle exposait réellement une surface d’attaque exploitable.
Cette personne a identifié nginx et PHP 8.4.26 à travers les en-têtes de réponse HTTP, a confirmé de manière indépendante une empreinte PHP 8.2 ou plus récente, et a comparé le comportement du serveur avec des environnements de test locaux. Après avoir initialement envisagé nginx associé à PHP-FPM ou Apache, l’analyse a révélé quelque chose d’inattendu : la correspondance comportementale la plus proche semblait être nginx redirigeant les requêtes vers le serveur Web intégré de PHP.
Conséquences de l’analyse
L’analyse a soulevé une possibilité encore plus provocante concernant le point d’entrée du site Web. Les réponses semblaient indiquer que le serveur intégré de PHP livrait un fichier index.html statique plutôt qu’exécutant un script index.php. Si cette interprétation est correcte, les vulnérabilités annoncées pourraient ne pas être accessibles à travers la surface d’attaque autorisée par le défi. Cela changerait fondamentalement la compétition.
Les hackers ne seraient pas nécessairement en train d’échouer à exploiter deux bugs critiques ; ils pourraient attaquer un environnement où les conditions requises ne se matérialisent jamais.
Conclusion
La personne derrière l’examen a remis en question la bonne foi du défi, tout en reconnaissant que ses conclusions pourraient être erronées et en accueillant les corrections. Il est important de noter que le simple fingerprinting de réponse ne peut pas établir l’architecture complète du serveur ni prouver que l’exploitation est impossible. Pourtant, l’hypothèse reste non vérifiée.
Pendant ce temps, les vulnérabilités PHP sous-jacentes sont réelles, et les administrateurs utilisant des versions affectées doivent toujours patcher leurs systèmes.
Pour l’instant, Steal My Bitcoin présente un spectacle de plus en plus intrigant : une prime en bitcoins publiquement annoncée, une foule de hackers en herbe, et un soupçon croissant que le coffre-fort numérique pourrait ne pas avoir de porte accessible en premier lieu.
