O investigador Killa violou o servidor do desafio Steal My Bitcoin e ganhou a sua recompensa em Bitcoin menos de três horas depois de o operador alterar a configuração do PHP. O ataque extraiu uma credencial oculta de uma carteira, e o operador James Pavur afirmou que os registos do servidor confirmavam as conclusões. O resultado reacendeu as preocupações com duas falhas críticas do PHP, CVE-2026-109618 e CVE-2026-109619, que, segundo investigadores, poderiam permitir a execução remota de código.
Porque é importante
Inicialmente, o desafio servia HTML comum através do servidor Web incorporado do PHP, limitando o acesso à funcionalidade vulnerável. O tráfego intenso também sobrecarregou o servidor de thread único, levando investigadores de segurança a defender que a resistência inicial não demonstrava que as falhas fossem difíceis de explorar.
O cofundador da Hacktron, Mohan “s1r1us” Pedhapati, alertou que tratar o desafio não resolvido como prova de que a vulnerabilidade tinha sido exagerada poderia transmitir uma falsa sensação de segurança às empresas e atrasar a aplicação de correções. Mais tarde, Pavur adicionou uma página PHP acessível, por volta das 13:00 UTC de 25 de outubro. O ataque bem-sucedido ocorreu às 15:47:38 UTC.
Impacto no mercado
O incidente é um alerta de segurança operacional para empresas que utilizam sistemas PHP afetados, e não um sinal direto para o preço do Bitcoin. Foram lançadas atualizações de software de emergência após a divulgação das vulnerabilidades, e o desafio oferece agora um exemplo público de como a configuração pode determinar se uma falha é, na prática, acessível.
Killa publicou uma prova de conceito no GitHub e reproduziu o ataque num ambiente de laboratório. As evidências confirmam que a resposta do servidor continha uma chave privada de Bitcoin, mas não demonstram que um sistema autónomo de IA tenha concluído o ataque, nem documentam integralmente como os modelos foram utilizados. A principal conclusão para os operadores de criptoativos é corrigir a infraestrutura PHP exposta, em vez de confiar em demonstrações iniciais difíceis como garantia de segurança.
Perguntas frequentes
-
Com que rapidez ganhou o investigador o desafio de Bitcoin?
O ataque teve êxito menos de três horas depois da alteração da configuração do servidor. A página PHP acessível foi adicionada por volta das 13:00 UTC, e o ataque bem-sucedido ocorreu às 15:47:38 UTC de 25 de outubro.
-
Que vulnerabilidades do PHP estiveram envolvidas no desafio?
O desafio ocorreu após a divulgação de CVE-2026-109618 e CVE-2026-109619. Investigadores afirmaram que as falhas críticas poderiam permitir a execução remota de código nos servidores afetados.
-
Porque foi o desafio inicialmente criticado?
Inicialmente, o servidor servia HTML comum através do servidor Web incorporado do PHP, limitando o acesso à funcionalidade vulnerável. O tráfego intenso também sobrecarregou o servidor de thread único.
-
Que evidências publicou Killa após o ataque?
Killa publicou uma prova de conceito no GitHub e uma reprodução em laboratório. As evidências incluíam uma resposta do servidor com uma chave privada de Bitcoin, embora permanecessem lacunas nos registos originais.
-
O resultado prova que a IA realizou o ataque de forma autónoma?
Não. As evidências publicadas não demonstram que um sistema autónomo de IA tenha concluído o ataque, nem fornecem um registo completo de como os modelos foram utilizados.
CoinTelegraph
WuBlockchain
CoinDesk
TheBlock
Lookonchain
WatcherGuru