Un sito web sta praticamente invitando gli hacker a rubare 2.000 dollari in Bitcoin<\/strong>, eppure nessuno \u00e8 ancora riuscito a raccogliere il premio. Un’analisi indipendente suggerisce che la sfida, apparentemente vulnerabile, potrebbe essere impossibile da violare<\/strong>, sollevando una domanda imbarazzante: il gioco \u00e8 truccato?<\/em><\/p>\n Benvenuti su Steal My Bitcoin<\/strong>, dove le normali regole della cybersecurity sono state capovolte. Invece di tenere gli hacker fuori, il sito li invita a entrare, offre una ricompensa in Bitcoin e li sfida a prenderla. La missione sembra ridicolmente semplice: sfruttare un’installazione PHP deliberatamente vulnerabile, recuperare una chiave privata Bitcoin nascosta e svuotare il portafoglio. Il primo hacker di successo si aggiudica il premio.<\/p>\n Inizialmente, il premio era di circa 500 dollari<\/strong>, ma le donazioni lo hanno portato a 2.000 dollari<\/strong>, circa 0,025 BTC<\/strong>. A partire dalla fine del 25 ottobre 2026, il portafoglio \u00e8 rimasto intatto dopo pi\u00f9 di 17 ore online<\/strong>.<\/p>\n Tuttavia, ci sono delle regole. I partecipanti devono limitare i loro attacchi all’applicazione web e al contenitore PHP. Attaccare l’host sottostante, sabotare l’infrastruttura o sovraccaricare il server \u00e8 vietato<\/strong>. Tutta l’attivit\u00e0 \u00e8 registrata.<\/p>\n La sfida pubblicizza PHP 8.4.26<\/strong>, una versione vulnerabile a due gravi difetti di sicurezza, collettivamente chiamati PHP2Shell<\/strong>. Entrambi hanno punteggi di gravit\u00e0 di 9.2<\/strong>, e le patch di emergenza sono arrivate il 21 ottobre. Le vulnerabilit\u00e0, CVE-2026-109618<\/strong> e CVE-2026-109619<\/strong>, riguardano fallimenti nella gestione della memoria che possono potenzialmente consentire l’esecuzione di codice remoto. In alcune configurazioni, gli attaccanti potrebbero eseguire comandi senza autenticazione.<\/p>\n Un individuo che ha esaminato la sfida ha pubblicamente messo in dubbio se la sua configurazione esponga effettivamente una superficie di attacco sfruttabile.<\/p>\n<\/blockquote>\n L’individuo ha identificato nginx<\/strong> e PHP 8.4.26<\/strong> attraverso le intestazioni di risposta HTTP, ha confermato in modo indipendente un’impronta di PHP 8.2 o pi\u00f9 recente e ha confrontato il comportamento del server con ambienti di test locali. Dopo aver inizialmente considerato nginx abbinato a PHP-FPM o Apache, l’analisi ha puntato verso qualcosa di inaspettato: la corrispondenza comportamentale pi\u00f9 vicina sembrava essere nginx che inoltra richieste al server web a riga di comando integrato di PHP.<\/p>\n L’analisi ha sollevato una possibilit\u00e0 ancora pi\u00f9 provocatoria riguardo al punto di accesso del sito web. Le sue risposte sembravano coerenti con il server integrato di PHP che consegna un file statico index.html<\/strong> piuttosto che eseguire uno script index.php<\/strong>. Se questa interpretazione \u00e8 corretta, le vulnerabilit\u00e0 pubblicizzate potrebbero non essere raggiungibili attraverso la superficie di attacco consentita dalla sfida.<\/p>\n Ci\u00f2 cambierebbe fondamentalmente la competizione. Gli hacker non starebbero necessariamente fallendo nel sfruttare due bug critici; potrebbero stare attaccando un ambiente in cui le condizioni richieste non si materializzano mai. La persona dietro l’esame ha messo in dubbio se la sfida stesse operando in buona fede, ma ha riconosciuto che i risultati potrebbero essere errati e ha accolto correzioni.<\/p>\n \u00c8 importante notare che il fingerprinting delle risposte da solo non pu\u00f2 stabilire l’architettura completa del server o dimostrare che lo sfruttamento sia impossibile. Tuttavia, l’ipotesi rimane non verificata. Nel frattempo, le vulnerabilit\u00e0 PHP sottostanti sono reali, e gli amministratori che eseguono versioni interessate devono comunque patchare i loro sistemi.<\/p>\n Per ora, Steal My Bitcoin<\/strong> presenta uno spettacolo sempre pi\u00f9 curioso: una ricompensa in Bitcoin pubblicamente pubblicizzata, una folla di aspiranti hacker e un crescente sospetto che la cassaforte digitale potrebbe non avere una porta accessibile in primo luogo.<\/p>\n","protected":false},"excerpt":{"rendered":" Introduzione Un sito web sta praticamente invitando gli hacker a rubare 2.000 dollari in Bitcoin, eppure nessuno \u00e8 ancora riuscito a raccogliere il premio. Un’analisi indipendente suggerisce che la sfida, apparentemente vulnerabile, potrebbe essere impossibile da violare, sollevando una domanda imbarazzante: il gioco \u00e8 truccato? La Sfida di Steal My Bitcoin Benvenuti su Steal My Bitcoin, dove le normali regole della cybersecurity sono state capovolte. Invece di tenere gli hacker fuori, il sito li invita a entrare, offre una ricompensa in Bitcoin e li sfida a prenderla. La missione sembra ridicolmente semplice: sfruttare un’installazione PHP deliberatamente vulnerabile, recuperare una chiave<\/p>\n","protected":false},"author":3,"featured_media":19731,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[15],"tags":[11,12,59],"class_list":["post-19732","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-bitcoin","tag-bitcoin","tag-defi","tag-uniswap"],"yoast_description":"Un sito web sfida gli hacker a rubare 2.000 dollari in Bitcoin, eppure nessuno \u00e8 riuscito, sollevando preoccupazioni su un possibile gioco truccato e sulla sfruttabilit\u00e0.","_links":{"self":[{"href":"https:\/\/satoshibrother.com\/it\/wp-json\/wp\/v2\/posts\/19732","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/satoshibrother.com\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/satoshibrother.com\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/satoshibrother.com\/it\/wp-json\/wp\/v2\/users\/3"}],"replies":[{"embeddable":true,"href":"https:\/\/satoshibrother.com\/it\/wp-json\/wp\/v2\/comments?post=19732"}],"version-history":[{"count":0,"href":"https:\/\/satoshibrother.com\/it\/wp-json\/wp\/v2\/posts\/19732\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/satoshibrother.com\/it\/wp-json\/wp\/v2\/media\/19731"}],"wp:attachment":[{"href":"https:\/\/satoshibrother.com\/it\/wp-json\/wp\/v2\/media?parent=19732"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/satoshibrother.com\/it\/wp-json\/wp\/v2\/categories?post=19732"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/satoshibrother.com\/it\/wp-json\/wp\/v2\/tags?post=19732"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}La Sfida di Steal My Bitcoin<\/h2>\n
Regole della Competizione<\/h2>\n
Vulnerabilit\u00e0 PHP<\/h2>\n
Dubbi sulla Configurazione<\/h2>\n
\n
Conclusioni<\/h2>\n