Сайт Steal My Bitcoin
Сайт Steal My Bitcoin предлагает хакерам украсть 2000 долларов в биткойнах, но до сих пор никто не смог забрать приз. Независимое исследование ставит под сомнение возможность взлома, поднимая вопрос: не является ли игра подстроенной?
Условия задания
Вместо того чтобы держать хакеров на расстоянии, сайт приглашает их внутрь, предлагая вознаграждение в биткойнах и бросая им вызов забрать его. Задание звучит абсурдно просто: использовать преднамеренно уязвимую установку PHP, получить скрытый приватный ключ Bitcoin и опустошить кошелек.
Приз начинался с 500 долларов, но благодаря пожертвованиям увеличился до 2000 долларов, что составляет примерно 0,025 BTC. По состоянию на конец 25 октября 2026 года кошелек оставался нетронутым после более чем 17 часов в сети.
Правила участия
Однако есть правила: участники должны ограничить свои атаки веб-приложением и контейнером PHP. Атака на основной хост, саботаж инфраструктуры или перегрузка сервера запрещены, а вся деятельность регистрируется.
Уязвимости PHP
Задание рекламирует PHP 8.4.26, версию, уязвимую к двум критическим уязвимостям, совместно названным PHP2Shell. Обе уязвимости имеют оценку серьезности 9.2, и экстренные патчи были выпущены 21 октября. Уязвимости, CVE-2026-109618 и CVE-2026-109619, связаны с ошибками управления памятью, которые могут позволить удаленное выполнение кода. В определенных конфигурациях злоумышленники могут выполнять команды без аутентификации.
Сомнения в конфигурации
Один исследователь, изучивший задание, публично поставил под сомнение, действительно ли его конфигурация открывает уязвимую поверхность атаки.
Он идентифицировал nginx и PHP 8.4.26 через заголовки HTTP-ответов, подтвердил отпечаток PHP 8.2 или новее и сравнил поведение сервера с локальными тестовыми средами. После анализа выяснилось, что ближайшее поведенческое соответствие связано с тем, что nginx перенаправляет запросы на встроенный веб-сервер командной строки PHP.
Это привело к еще более провокационной гипотезе о точке входа сайта: его ответы, похоже, соответствуют тому, что встроенный сервер PHP доставляет статический файл index.html, а не выполняет скрипт index.php. Если это так, рекламируемые уязвимости могут быть недоступны через разрешенную поверхность атаки задания, что кардинально изменило бы соревнование.
Заключение
Хакеры не обязательно не смогли бы использовать две критические ошибки, но могли бы атаковать среду, где необходимые условия никогда не возникают. Исследователь поставил под сомнение добросовестность задания, но признал, что его выводы могут быть ошибочными и приветствовал исправления.
Важно отметить, что только отпечатки ответов не могут установить полную архитектуру сервера или доказать невозможность эксплуатации. Тем не менее, гипотеза остается непроверенной. В то же время основные уязвимости PHP реальны, и администраторы, использующие затронутые версии, должны обновить свои системы.
На данный момент Steal My Bitcoin представляет собой все более любопытное зрелище: публично рекламируемое вознаграждение в биткойнах, толпа потенциальных хакеров и растущее подозрение, что цифровой сейф может не иметь доступной двери с самого начала.
На этой неделе в новостях обсуждались изменяющиеся рыночные сигналы, расширение DeFi, институциональные ставки, венчурный капитал и кибербезопасность.
