Um pesquisador conhecido online como Killa explorou uma falha crítica no PHP em 25 de outubro para executar código no servidor público do desafio Steal My Bitcoin. Killa extraiu as credenciais de uma carteira oculta e ganhou uma recompensa em bitcoin. O operador do desafio, James Pavur, confirmou a violação e disse que os logs do servidor corroboraram as descobertas de Killa. No entanto, Pavur havia colocado a chave privada errada de bitcoin no servidor.
A competição seguiu à divulgação em 21 de outubro das vulnerabilidades críticas do PHP CVE-2026-109618 e CVE-2026-109619. Pesquisadores afirmaram que as vulnerabilidades poderiam permitir execução remota de código em servidores afetados. As descobertas desencadearam alertas urgentes de executivos de segurança de criptomoedas e atualizações de software de emergência. O desafio tornou-se um teste público desses alertas, amid alegações de que a inteligência artificial estava simplificando a exploração de falhas de segurança graves. A aparente resistência do servidor aos ataques incentivou dúvidas sobre a facilidade com que atacantes poderiam explorar as vulnerabilidades.
Pavur originalmente usou o servidor web embutido do PHP para servir HTML comum, restringindo o acesso à funcionalidade vulnerável. Pesquisadores de cibersegurança argumentaram que a sobrevivência inicial do desafio revelou pouco sobre se as falhas poderiam ser exploradas. Pavur posteriormente reconheceu o problema de configuração. Pavur disse que uma página PHP acessível foi adicionada por volta das 13:00 UTC em 25 de outubro. A violação bem-sucedida ocorreu às 15:47:38 UTC, menos de três horas depois.
O hacker ético e cofundador da Hacktron, Mohan "s1r1us" Pedhapati, alertou que discutir a competição poderia encorajar empresas a subestimar a ameaça. Pedhapati argumentou que o desafio inicial era irrealista, pois o tráfego intenso sobrecarregou o servidor PHP de único thread, tornando a exploração incomumente difícil. Pedhapati alertou que essas condições não demonstraram que atacantes usando modelos de IA de ponta teriam dificuldades em circunstâncias mais favoráveis. Pedhapati também advertiu que tratar um desafio mal configurado e não resolvido como evidência de uma ameaça exagerada poderia criar falsa confiança e atrasar a correção de vulnerabilidades.
Killa posteriormente publicou uma prova de conceito no GitHub descrevendo os passos da exploração e uma reprodução laboratorial separada. A conta de Killa registrou uma resposta bem-sucedida do servidor que incluía uma chave privada de bitcoin. No entanto, Killa reconheceu que alguns registros da tentativa original não foram preservados. A evidência publicada não demonstra que um sistema de IA autônomo completou o ataque. A evidência também não documenta completamente como os modelos foram utilizados na tentativa bem-sucedida.
Pesquisador explora falha crítica em PHP no desafio de hacking de bitcoin
CryptoSlateCompartilhar
Resumo
Notícia exclusiva sobre bitcoin: Um pesquisador conhecido como Killa explorou uma falha crítica no PHP em 25 de outubro para executar código no servidor público do desafio Steal My Bitcoin, extraiu as credenciais de uma carteira oculta e reivindicou uma recompensa em bitcoin. O operador do desafio, James Pavur, confirmou a violação, mas observou que o servidor continha a chave privada errada de bitcoin. O incidente ocorreu após a divulgação, em 21 de outubro, das vulnerabilidades no PHP CVE-2026-109618 e CVE-2026-109619, que poderiam permitir execução remota de código. Killa publicou uma prova de conceito no GitHub, mas não há evidências que confirmem se um sistema de IA foi utilizado no ataque.
Fonte:Mostrar original
Aviso legal: as informações nesta página podem ter sido obtidas de terceiros e não refletem necessariamente os pontos de vista ou opiniões da KuCoin. Este conteúdo é fornecido apenas para fins informativos gerais, sem qualquer representação ou garantia de qualquer tipo, nem deve ser interpretado como aconselhamento financeiro ou de investimento. A KuCoin não é responsável por quaisquer erros ou omissões, ou por quaisquer resultados do uso destas informações.
Os investimentos em ativos digitais podem ser arriscados. Avalie cuidadosamente os riscos de um produto e a sua tolerância ao risco com base nas suas próprias circunstâncias financeiras. Para mais informações, consulte nossos termos de uso e divulgação de risco.