El investigador Killa vulneró el servidor del reto Steal My Bitcoin y ganó su recompensa en Bitcoin menos de tres horas después de que el operador cambiara la configuración de PHP. El ataque extrajo una credencial oculta de la cartera, y el operador James Pavur afirmó que los registros del servidor respaldaban los hallazgos. El resultado reavivó la preocupación por dos fallos críticos de PHP, CVE-2026-109618 y CVE-2026-109619, que, según los investigadores, podrían permitir la ejecución remota de código.
Por qué importa
Al principio, el reto servía HTML convencional mediante el servidor web integrado de PHP, lo que limitaba el acceso a la funcionalidad vulnerable. El tráfico intenso también saturó el servidor de un solo hilo, lo que llevó a investigadores de seguridad a señalar que su resistencia inicial no demostraba que los fallos fueran difíciles de explotar.
El cofundador de Hacktron, Mohan “s1r1us” Pedhapati, advirtió que tratar el reto no resuelto como prueba de que la vulnerabilidad estaba exagerada podía dar a las empresas una falsa sensación de seguridad y retrasar la aplicación de parches. Pavur añadió después una página PHP accesible alrededor de las 13:00 UTC del 25 de octubre. El ataque exitoso se produjo a las 15:47:38 UTC.
Impacto en el mercado
El incidente es una advertencia sobre la seguridad operativa para las empresas que utilizan sistemas PHP afectados, no una señal directa sobre el precio de Bitcoin. Tras la divulgación de las vulnerabilidades se publicaron actualizaciones de software de emergencia, y el reto ofrece ahora un ejemplo público de cómo la configuración puede determinar si un fallo es accesible en la práctica.
Killa publicó una prueba de concepto en GitHub y reprodujo el ataque en un entorno de laboratorio. Las pruebas confirman que la respuesta del servidor contenía una clave privada de Bitcoin, pero no demuestran que un sistema de IA autónomo completara el ataque ni documentan por completo cómo se utilizaron los modelos. La conclusión central para los operadores del sector cripto es aplicar parches a la infraestructura PHP expuesta, en lugar de confiar en demostraciones iniciales difíciles como garantía de seguridad.
Preguntas frecuentes
-
¿Con qué rapidez ganó el investigador el reto de Bitcoin?
El ataque tuvo éxito menos de tres horas después del cambio de configuración del servidor. La página PHP accesible se añadió alrededor de las 13:00 UTC, y el ataque exitoso se produjo a las 15:47:38 UTC del 25 de octubre.
-
¿Qué vulnerabilidades de PHP estuvieron implicadas en el reto?
El reto se produjo tras la divulgación de CVE-2026-109618 y CVE-2026-109619. Los investigadores afirmaron que estos fallos críticos podían permitir la ejecución remota de código en servidores afectados.
-
¿Por qué recibió críticas el reto al principio?
Inicialmente, el servidor servía HTML convencional mediante el servidor web integrado de PHP, lo que limitaba el acceso a la funcionalidad vulnerable. El tráfico intenso también saturó el servidor de un solo hilo.
-
¿Qué pruebas publicó Killa después del ataque?
Killa publicó una prueba de concepto en GitHub y una reproducción en laboratorio. Las pruebas incluían una respuesta del servidor que contenía una clave privada de Bitcoin, aunque seguían existiendo lagunas en los registros originales.
-
¿Demuestra el resultado que la IA llevó a cabo el ataque de forma autónoma?
No. Las pruebas publicadas no demuestran que un sistema de IA autónomo completara el ataque ni ofrecen un registro completo de cómo se utilizaron los modelos.
WuBlockchain
CoinDesk
TheBlock