Der Forscher Killa drang in den Server der Herausforderung Steal My Bitcoin ein und gewann dessen Bitcoin-Bounty weniger als drei Stunden, nachdem der Betreiber die PHP-Konfiguration geändert hatte. Der Angriff extrahierte eine versteckte Wallet-Zugangsinformation. Betreiber James Pavur erklärte, die Serverprotokolle stützten diese Ergebnisse. Der Vorfall lenkte die Aufmerksamkeit erneut auf zwei kritische PHP-Schwachstellen, CVE-2026-109618 und CVE-2026-109619, die laut Forschern Remote Code Execution ermöglichen könnten.
Warum das wichtig ist
Die Herausforderung lieferte zunächst gewöhnliches HTML über den integrierten Webserver von PHP aus, wodurch der Zugriff auf die verwundbare Funktionalität eingeschränkt war. Hoher Datenverkehr überlastete zudem den Single-Threaded-Server. Sicherheitsforscher argumentierten daher, dass der anfängliche Widerstand nicht belege, dass die Schwachstellen nur schwer auszunutzen seien.
Hacktron-Mitgründer Mohan „s1r1us“ Pedhapati warnte, die ungelöste Herausforderung als Beleg für eine überschätzte Schwachstelle zu betrachten. Dies könne Unternehmen ein falsches Sicherheitsgefühl geben und das Patchen verzögern. Pavur fügte später gegen 13:00 UTC am 25. Oktober eine zugängliche PHP-Seite hinzu. Der erfolgreiche Angriff folgte um 15:47:38 UTC.
Auswirkungen auf den Markt
Der Vorfall ist eine Warnung zur Betriebssicherheit für Unternehmen, die betroffene PHP-Systeme betreiben, und kein direktes Signal für den Bitcoin-Preis. Nach der Veröffentlichung der Schwachstellen folgten dringende Software-Updates. Die Herausforderung liefert nun ein öffentliches Beispiel dafür, wie die Konfiguration darüber entscheiden kann, ob eine Schwachstelle praktisch erreichbar ist.
Killa veröffentlichte einen Proof of Concept auf GitHub und reproduzierte den Angriff in einer Laborumgebung. Die Belege bestätigen, dass die Serverantwort einen privaten Bitcoin-Schlüssel enthielt. Sie belegen jedoch nicht, dass ein autonomes KI-System den Angriff abgeschlossen hat, und dokumentieren auch nicht vollständig, wie Modelle eingesetzt wurden. Die zentrale Erkenntnis für Betreiber im Kryptobereich lautet, offengelegte PHP-Infrastruktur zu patchen, statt sich von schwierigen frühen Demonstrationen in falscher Sicherheit wiegen zu lassen.
Häufig gestellte Fragen
-
Wie schnell gewann der Forscher die Bitcoin-Herausforderung?
Der Angriff war weniger als drei Stunden nach der Änderung der Serverkonfiguration erfolgreich. Die zugängliche PHP-Seite wurde gegen 13:00 UTC hinzugefügt, der erfolgreiche Angriff folgte am 25. Oktober um 15:47:38 UTC.
-
Welche PHP-Schwachstellen waren an der Herausforderung beteiligt?
Die Herausforderung folgte auf die Veröffentlichung von CVE-2026-109618 und CVE-2026-109619. Laut Forschern könnten die kritischen Schwachstellen Remote Code Execution auf betroffenen Servern ermöglichen.
-
Warum wurde die Herausforderung anfangs kritisiert?
Der Server lieferte zunächst gewöhnliches HTML über den integrierten Webserver von PHP aus und beschränkte dadurch den Zugriff auf die verwundbare Funktionalität. Hoher Datenverkehr überlastete zudem den Single-Threaded-Server.
-
Welche Belege veröffentlichte Killa nach dem Angriff?
Killa veröffentlichte einen Proof of Concept auf GitHub und eine Reproduktion im Labor. Die Belege enthielten eine Serverantwort mit einem privaten Bitcoin-Schlüssel, auch wenn Lücken in den ursprünglichen Aufzeichnungen blieben.
-
Beweist das Ergebnis, dass KI den Angriff autonom durchgeführt hat?
Nein. Die veröffentlichten Belege zeigen nicht, dass ein autonomes KI-System den Angriff abgeschlossen hat, und liefern keine umfassende Dokumentation darüber, wie Modelle eingesetzt wurden.
CoinTelegraph
WuBlockchain
CoinDesk
TheBlock