Un investigador conocido en línea como Killa explotó una vulnerabilidad crítica de PHP el 25 de octubre para ejecutar código en el servidor público del desafío Steal My Bitcoin. Killa extrajo unas credenciales de monedero ocultas y ganó una recompensa en bitcoin. El operador del desafío, James Pavur, confirmó la brecha y dijo que los registros del servidor corroboraban los hallazgos de Killa. Sin embargo, Pavur había colocado la clave privada de bitcoin incorrecta en el servidor.
La competencia siguió a la divulgación del 21 de octubre de vulnerabilidades críticas de PHP CVE-2026-109618 y CVE-2026-109619. Los investigadores indicaron que estas vulnerabilidades podrían permitir la ejecución remota de código en servidores afectados. Los descubrimientos desencadenaron advertencias urgentes de ejecutivos de seguridad de criptomonedas y actualizaciones de software de emergencia. El desafío se convirtió en una prueba pública de esas advertencias, en medio de afirmaciones de que la inteligencia artificial estaba simplificando la explotación de fallos de seguridad graves. La aparente resistencia del servidor a los ataques generó dudas sobre la facilidad con la que los atacantes podrían explotar las vulnerabilidades.
Pavur originalmente usó el servidor web incorporado de PHP para servir HTML ordinario, restringiendo el acceso a la funcionalidad vulnerable. Los investigadores de ciberseguridad argumentaron que la supervivencia inicial del desafío revelaba poco sobre si las fallas podían ser explotadas. Pavur posteriormente reconoció el problema de configuración. Pavur dijo que se agregó una página PHP accesible alrededor de las 13:00 UTC del 25 de octubre. La violación exitosa ocurrió a las 15:47:38 UTC, menos de tres horas después.
El hacker ético y cofundador de Hacktron, Mohan "s1r1us" Pedhapati, advirtió que discutir la competencia podría animar a las empresas a subestimar la amenaza. Pedhapati argumentó que el desafío inicial era irrealista porque el tráfico intenso abrumó el servidor PHP de un solo hilo, haciendo que la explotación fuera inusualmente difícil. Pedhapati advirtió que esas condiciones no demostraban que los atacantes que usan modelos de IA de vanguardia tendrían dificultades en circunstancias más favorables. Pedhapati también advirtió que tratar un desafío mal configurado e irresuelto como evidencia de una amenaza exagerada podría generar una falsa confianza y retrasar la aplicación de parches.
Killa publicó posteriormente una prueba de concepto en GitHub que describe los pasos de explotación y una reproducción de laboratorio separada. La cuenta de Killa registró una respuesta del servidor exitosa que incluía una clave privada de bitcoin. Sin embargo, Killa reconoció que algunos registros del intento original no se habían conservado. La evidencia publicada no demuestra que un sistema de inteligencia artificial autónomo completara el ataque. La evidencia tampoco documenta completamente cómo se utilizaron los modelos en el intento exitoso.
Investigador explota una falla crítica de PHP en el desafío de hacking de bitcoin
CryptoSlateCompartir
Resumen
Noticia urgente sobre bitcoin: Un investigador conocido como Killa explotó una vulnerabilidad crítica de PHP el 25 de octubre para ejecutar código en el servidor del desafío público Steal My Bitcoin, extrayendo las credenciales de un monedero oculto y reclamando una recompensa en bitcoin. El operador del desafío, James Pavur, confirmó la brecha, pero señaló que el servidor contenía la clave privada incorrecta de bitcoin. El incidente siguió a la divulgación el 21 de octubre de las vulnerabilidades de PHP CVE-2026-109618 y CVE-2026-109619, que podrían permitir la ejecución remota de código. Killa publicó una prueba de concepto en GitHub, pero no hay evidencia que confirme si se utilizó un sistema de inteligencia artificial en el ataque.
Fuente:Mostrar original
Descargo de responsabilidad: La información contenida en esta página puede proceder de terceros y no refleja necesariamente los puntos de vista u opiniones de KuCoin. Este contenido se proporciona solo con fines informativos generales, sin ninguna representación o garantía de ningún tipo, y tampoco debe interpretarse como asesoramiento financiero o de inversión. KuCoin no es responsable de ningún error u omisión, ni de ningún resultado derivado del uso de esta información.
Las inversiones en activos digitales pueden ser arriesgadas. Evalúa con cuidado los riesgos de un producto y tu tolerancia al riesgo en función de tus propias circunstancias financieras. Para más información, consulta nuestras Condiciones de uso y la Declaración de riesgos.