Udfordringen “Steal My Bitcoin”
En hjemmeside udfordrer hackere til at stjæle $2.000 i Bitcoin, men ingen har endnu indsamlet præmien. En uafhængig undersøgelse antyder, at den angiveligt sårbare udfordring måske er umulig at knække, hvilket rejser et akavet spørgsmål: Er spillet rigget?
Missionen
Velkommen til “Steal My Bitcoin”, hvor cybersikkerhedens sædvanlige regler er blevet vendt på hovedet. I stedet for at holde hackere ude, inviterer hjemmesiden dem indenfor, tilbyder en Bitcoin-belønning og udfordrer dem til at tage den. Missionen lyder latterligt simpel: Udnyt en bevidst sårbar PHP-installation, hent en skjult Bitcoin privat nøgle og tøm tegnebogen. Den første succesfulde hacker får pengene.
Præmien
Præmien startede omkring $500, før donationer skubbede den op mod $2.000, cirka 0,025 BTC. Pr. den 25. oktober 2026 rapporteres det, at tegnebogen forblev urørt efter mere end 17 timer online.
Reglerne
Der er dog regler. Deltagerne skal begrænse deres angreb til webapplikationen og PHP-containeren. At angribe den underliggende vært, sabotere infrastrukturen eller overbelaste serveren er forbudt. Al aktivitet bliver logget.
Sårbarhederne
Udfordringen reklamerer for PHP 8.4.26, en version der er sårbar over for to kritiske sikkerhedsfejl, der samlet kaldes PHP2Shell. Begge har en alvorlighedsscore på 9,2, og nødopdateringer kom den 21. oktober. Sårbarhederne, CVE-2026-109618 og CVE-2026-109619, involverer fejl i hukommelsesstyringen, der potentielt kan tillade fjernkodeeksekvering. I visse konfigurationer kunne angribere udføre kommandoer uden autentifikation.
Undersøgelsen
En person, der undersøgte udfordringen, stillede offentligt spørgsmålstegn ved, om dens konfiguration faktisk udsætter en udnyttelig angrebsflade. Personen identificerede nginx og PHP 8.4.26 gennem HTTP-responsoverskrifter, bekræftede uafhængigt et PHP 8.2-eller-nyere fingeraftryk og sammenlignede serverens adfærd med lokale testmiljøer.
“Den nærmeste adfærdsmatch syntes at være nginx, der videresender anmodninger til PHP’s indbyggede kommandolinje-webserver.”
Analysen rejste en endnu mere provokerende mulighed vedrørende hjemmesidens indgangspunkt. Dens svar syntes at være konsistente med PHP’s indbyggede server, der leverer en statisk index.html-fil i stedet for at udføre et index.php-script. Hvis denne fortolkning er korrekt, kan de annoncerede sårbarheder muligvis ikke nås gennem udfordringens tilladte angrebsflade. Det ville fundamentalt ændre konkurrencen.
Konklusion
Hackere ville ikke nødvendigvis fejle i at udnytte to kritiske fejl; de kunne angribe et miljø, hvor de nødvendige betingelser aldrig materialiserer sig. Personen bag undersøgelsen stillede spørgsmålstegn ved, om udfordringen blev drevet i god tro, men anerkendte, at fundene kunne være forkerte og bød velkommen til rettelser. Vigtigt er det, at responsfingeraftryk alene ikke kan fastslå serverens komplette arkitektur eller bevise, at udnyttelse er umulig. Alligevel forbliver hypotesen ubevist.
I mellemtiden er de underliggende PHP-sårbarheder reelle, og administratorer, der kører berørte versioner, skal stadig opdatere deres systemer. Indtil videre præsenterer “Steal My Bitcoin” et stadig mere nysgerrigt skue: En offentligt annonceret Bitcoin-belønning, en skare af potentielle hackere og en voksende mistanke om, at det digitale pengeskab måske ikke har en tilgængelig dør i første omgang.
