Introduzione
Un sito web sta praticamente invitando gli hacker a rubare 2.000 dollari in Bitcoin, eppure nessuno è ancora riuscito a raccogliere il premio. Un’analisi indipendente suggerisce che la sfida, apparentemente vulnerabile, potrebbe essere impossibile da violare, sollevando una domanda imbarazzante: il gioco è truccato?
La Sfida di Steal My Bitcoin
Benvenuti su Steal My Bitcoin, dove le normali regole della cybersecurity sono state capovolte. Invece di tenere gli hacker fuori, il sito li invita a entrare, offre una ricompensa in Bitcoin e li sfida a prenderla. La missione sembra ridicolmente semplice: sfruttare un’installazione PHP deliberatamente vulnerabile, recuperare una chiave privata Bitcoin nascosta e svuotare il portafoglio. Il primo hacker di successo si aggiudica il premio.
Inizialmente, il premio era di circa 500 dollari, ma le donazioni lo hanno portato a 2.000 dollari, circa 0,025 BTC. A partire dalla fine del 25 ottobre 2026, il portafoglio è rimasto intatto dopo più di 17 ore online.
Regole della Competizione
Tuttavia, ci sono delle regole. I partecipanti devono limitare i loro attacchi all’applicazione web e al contenitore PHP. Attaccare l’host sottostante, sabotare l’infrastruttura o sovraccaricare il server è vietato. Tutta l’attività è registrata.
Vulnerabilità PHP
La sfida pubblicizza PHP 8.4.26, una versione vulnerabile a due gravi difetti di sicurezza, collettivamente chiamati PHP2Shell. Entrambi hanno punteggi di gravità di 9.2, e le patch di emergenza sono arrivate il 21 ottobre. Le vulnerabilità, CVE-2026-109618 e CVE-2026-109619, riguardano fallimenti nella gestione della memoria che possono potenzialmente consentire l’esecuzione di codice remoto. In alcune configurazioni, gli attaccanti potrebbero eseguire comandi senza autenticazione.
Dubbi sulla Configurazione
Un individuo che ha esaminato la sfida ha pubblicamente messo in dubbio se la sua configurazione esponga effettivamente una superficie di attacco sfruttabile.
L’individuo ha identificato nginx e PHP 8.4.26 attraverso le intestazioni di risposta HTTP, ha confermato in modo indipendente un’impronta di PHP 8.2 o più recente e ha confrontato il comportamento del server con ambienti di test locali. Dopo aver inizialmente considerato nginx abbinato a PHP-FPM o Apache, l’analisi ha puntato verso qualcosa di inaspettato: la corrispondenza comportamentale più vicina sembrava essere nginx che inoltra richieste al server web a riga di comando integrato di PHP.
L’analisi ha sollevato una possibilità ancora più provocatoria riguardo al punto di accesso del sito web. Le sue risposte sembravano coerenti con il server integrato di PHP che consegna un file statico index.html piuttosto che eseguire uno script index.php. Se questa interpretazione è corretta, le vulnerabilità pubblicizzate potrebbero non essere raggiungibili attraverso la superficie di attacco consentita dalla sfida.
Conclusioni
Ciò cambierebbe fondamentalmente la competizione. Gli hacker non starebbero necessariamente fallendo nel sfruttare due bug critici; potrebbero stare attaccando un ambiente in cui le condizioni richieste non si materializzano mai. La persona dietro l’esame ha messo in dubbio se la sfida stesse operando in buona fede, ma ha riconosciuto che i risultati potrebbero essere errati e ha accolto correzioni.
È importante notare che il fingerprinting delle risposte da solo non può stabilire l’architettura completa del server o dimostrare che lo sfruttamento sia impossibile. Tuttavia, l’ipotesi rimane non verificata. Nel frattempo, le vulnerabilità PHP sottostanti sono reali, e gli amministratori che eseguono versioni interessate devono comunque patchare i loro sistemi.
Per ora, Steal My Bitcoin presenta uno spettacolo sempre più curioso: una ricompensa in Bitcoin pubblicamente pubblicizzata, una folla di aspiranti hacker e un crescente sospetto che la cassaforte digitale potrebbe non avere una porta accessibile in primo luogo.
