Ein Bitcoin-Schlüssel im Wert von 503 Dollar liegt auf diesem Server – wer ihn findet, darf ihn behalten
Steal My Bitcoin
Auf stealmybitcoin.com liegt ein Bitcoin-Schlüssel im Wert von rund 503 Dollar, der über das Binary `print-flag` für den PHP-Benutzer erreichbar ist. Die eingesetzte PHP-Version stammt aus der Zeit vor den PHP2SHELL-CVEs. Wer den Wallet zuerst knackt, gewinnt – und wer das Geld nicht braucht, wird gebeten, es an GiveWell zu spenden.
Der Erste, der an den Wallet kommt, gewinnt.
- technion
Es gibt viel Zynismus in diesem Thread, aber die Tatsache, dass das eine Stunde später immer noch offen ist, beendet die Erzählung meiner Meinung nach. Es gibt keine "Tausenden von Schwärmen von Agenten, die autonom jede Website für ihre Autoren kompromittieren" oder irgendein anderes x / LinkedIn-Geschwafel, das ich gelesen habe.
Es passiert eindeutig nicht.
- dguido
Das sieht aus wie eine Falle. Wir haben eine funktionierende RCE, die das beanspruchen würde, aber ich möchte das nicht demonstrieren, weil es preisgeben könnte, was wir gebaut haben. Wir haben noch ein Zeitfenster, in dem Leute patchen können, und das möchte ich nicht riskieren.
- nayuki
Der Server wird überlastet, hier ist der Text als Referenz:
Steal my Bitcoin
0,65 Stunden ohne erfolgreichen Hack
Auf diesem Server ist ein Bitcoin-Schlüssel versteckt, der etwa 502 $ wert ist.
Er ist über das print-flag-Binary für das PHP-Benutzerkonto zugänglich.
Diese PHP-Version wurde ausgewählt, bevor die PHP2SHELL-CVEs veröffentlicht wurden.
Wer zuerst die Wallet bekommt, gewinnt. Wenn du das Geld nicht brauchst, erwäge, es denen zu spenden, die es brauchen: givewell.org.
Der gesamte Datenverkehr wird protokolliert. Dies ist eine bekanntermaßen verwundbare Maschine, daher können wir die Privatsphäre nicht garantieren. Andere Angreifer könnten auf Aktivitäten und Daten zugreifen oder diese überwachen, die außerhalb unserer Kontrolle liegen. Reiche nichts ein, was du privat halten möchtest.
Challenge-Wallet
Explorer ↗
bc1qlnu5…t3cxqy
0,00625104 BTC
≈ 502,35 USD
stealmybitcoin.com · Teilnahmebedingungen
- scottydelta
Ich habe zwei von fünf KI-Agenten, die zugestimmt haben, mit mir nach dem Flag (Wallet-Schlüssel) zu suchen. Hier ist der bisherige Fortschritt:
1. GLM-5.3: Hat es als öffentliche Challenge interpretiert und versucht derzeit, das Flag zu finden.
2. GLM-5.3-Flash: Hat es ebenfalls als öffentliche Challenge interpretiert und arbeitet daran, es zu knacken.
3. GPT-6.1-Sol: Hat es als Cybersicherheitsanfrage markiert und mich angewiesen, mich für deren Cybersicherheitsprogramm zu registrieren.
4. DeepSeek-v4.1-Flash (über OpenRouter): Weigerte sich, den Exploit auszuführen.
5. Claude Fable-5.1 (über OpenRouter): Gab einen anbieterseitigen Inhaltsfilterfehler zurück.
Alle Sitzungen mit verschiedenen Agenten laufen auf Tarvis (https://tarvis.io), einer App, die ich baue. Stell es dir als selbstgehostete Version von Railway vor, aber mit integriertem KI-Agenten und Cloud-Entwicklungsumgebung.
Die Website scheint überlastet zu sein, und beide Agenten, die zugestimmt haben, an der Challenge zu arbeiten, können sich jetzt nicht mehr mit ihr verbinden. HN's hug of death, schätze ich.
EDIT: Sie ist wieder online!
- jerrythegerbil
Das wird eine Weile unbeansprucht bleiben. Es könnte noch am selben Tag beansprucht werden, aber
Leute haben den Exploit. Die riskierten Opportunitätskosten, dass dies ein Honeypot ist (und man einen funktionierenden Exploit übergibt) gegenüber einfach … nicht teilzunehmen und stattdessen Ziele mit höherem Wert zu hacken (offensive Akteure) oder keine zusätzlichen Details weiterzugeben (defensive Akteure, die privilegierte Informationen über die Schwachstellen haben) Ich meine nur…
Das Wertversprechen ist hier so lächerlich gering für das, was nötig ist, um überhaupt den Diebstahl der Bitcoin zu demonstrieren.
Das heißt nicht, dass Leute es nicht versuchen werden, und vielleicht sogar Erfolg haben! Aber zu welchem Zweck? Um terrible Mathe-Kenntnisse und ein grundlegendes Missverständnis der wirtschaftlichen Zusammenhänge zu demonstrieren?
Ich und viele meiner Freunde und Köche könnten das leicht schaffen. Der Unterschied ist, dass wir wissen, wann wir es nicht tun sollten.
Mach es zu 15-25k $ und es wird sofort geschnappt, höchstwahrscheinlich ohne PHP2Shell überhaupt zu benutzen.
- hpone91
Ja, das spezifische Setup ist nicht für PHP2SHELL anfällig. CLI-Server + 1 MiB-Limit + inerte Seite + hohes Speicherlimit beseitigen alle Möglichkeiten der beiden CVEs. Es würden nur POCs für tatsächlich anfällige Setups gesammelt.
- 40four
Die Menge an Bitcoin scheint mit der Zeit zu steigen. Beim letzten Mal, als ich es gesehen habe, waren es ~500 $. Jetzt ist die Wallet zum Zeitpunkt dieses Kommentars ~2000 $ wert.
Also wird die Idee, dass es nicht genug Geld ist, damit jemand seinen Exploit „hergibt“, irgendwann an einen Wendepunkt gelangen, wenn es so weitergeht. Das könnte mit der Zeit interessanter werden. Ich hole mir jetzt schon mein Popcorn!