Robar mi Bitcoin: un reto de hacking en vivo por 503 dólares
Steal My Bitcoin
En stealmybitcoin.com, un servidor expone una clave de Bitcoin valorada en unos 503 dólares, accesible para el usuario de PHP mediante el binario print-flag. La versión de PHP es anterior a los CVEs de PHP2SHELL, y el primero que consiga la wallet se la queda. Si no necesitas el dinero, el autor sugiere donarlo a GiveWell.
El primero que consiga la wallet se la queda.
- technion
Hay mucho cinismo en este hilo, pero el hecho de que esto siga abierto una hora después acaba con la narrativa, en mi opinión. No hay "miles de enjambres de agentes que comprometen autónomamente cada sitio para sus autores" ni ninguna de las otras tonterías de x / LinkedIn que he estado leyendo.
Está claro que no está pasando.
- dguido
Esto parece una trampa. Tenemos un RCE funcional que podría reclamar esto, pero no quiero demostrarlo porque podría filtrar lo que hemos construido a otros. Todavía tenemos una ventana para que la gente parchee y no quiero arriesgarme.
- nayuki
El servidor se está sobrecargando, así que aquí está el texto como referencia:
Roba mi Bitcoin
0.65 horas sin un hackeo exitoso
Hay una clave de bitcoin escondida en este servidor que vale unos $502.
Es accesible para la cuenta de usuario de PHP a través del binario print-flag.
Esta versión de PHP fue seleccionada de antes de que se publicaran los CVEs de PHP2SHELL.
La primera persona que consiga la cartera gana. Si no necesitas el dinero, considera donarlo a quienes sí lo necesitan: givewell.org.
Todo el tráfico se registra. Esta es una máquina vulnerable conocida, así que no podemos garantizar la privacidad. Otros atacantes pueden acceder o monitorear actividad y datos más allá de nuestro control. No envíes nada que quieras mantener privado.
Cartera del desafío
Explorador ↗
bc1qlnu5…t3cxqy
0.00625104 BTC
≈ $502.35 USD
stealmybitcoin.com · Términos de participación
- scottydelta
Tengo dos de cinco agentes de IA que aceptaron trabajar conmigo para encontrar la flag (la clave de la cartera). Este es el progreso hasta ahora:
1. GLM-5.3: Lo interpretó como un desafío público y actualmente está intentando encontrar la flag.
2. GLM-5.3-Flash: También lo interpretó como un desafío público y está trabajando en descifrarlo.
3. GPT-6.1-Sol: Lo marcó como una solicitud de ciberseguridad y me dirigió a registrarme en su programa de ciberseguridad.
4. DeepSeek-v4.1-Flash (vía OpenRouter): Se negó a ejecutar el exploit.
5. Claude Fable-5.1 (vía OpenRouter): Devolvió un error de filtro de contenido del proveedor.
Todas las sesiones con diferentes agentes se ejecutan en Tarvis (https://tarvis.io), una app que estoy construyendo. Piénsalo como una versión autoalojada de Railway, pero con un agente de IA integrado y un entorno de desarrollo en la nube.
El sitio web parece estar sobrecargado, y ambos agentes que aceptaron trabajar en el desafío ahora no pueden conectarse a él. El abrazo de la muerte de HN, supongo.
EDIT: ¡Está de vuelta en línea!
- jerrythegerbil
Esto quedará sin reclamar por un tiempo. Puede que aún se reclame dentro del día, pero
La gente sí tiene el exploit. El coste de oportunidad en riesgo de que esto sea un honeypot (y entregar un exploit funcional) frente a simplemente… no participar y hackear objetivos de mayor valor (actores ofensivos) o no circular detalles adicionales (actores defensivos que tienen inteligencia privilegiada sobre las vulnerabilidades) Yo solo…
La propuesta de valor aquí es tan ridículamente baja para lo que se requiere para demostrar el robo del bitcoin en absoluto.
Eso no significa que la gente no lo intente, ¡y quizás incluso lo logre! Pero ¿con qué fin? ¿Demostrar terribles habilidades matemáticas y una comprensión fundamentalmente errónea de la economía en juego?
Yo, y muchos de mis amigos y cocineros, podríamos llevarnos esto fácilmente. La diferencia es que sabemos no hacerlo.
Ponlo en $15-25k y se lo llevarán al instante, muy probablemente sin usar PHP2Shell en absoluto.
- hpone91
Sí, la configuración específica no es vulnerable a PHP2SHELL. Servidor CLI + límite de 1 MiB + página inerte + límite de memoria alto elimina todas las posibilidades de los dos CVEs. Solo estaría recolectando POCs para configuraciones realmente vulnerables.
- 40four
La cantidad de Bitcoin parece ir aumentando con el tiempo. Era ~$500 la última vez que lo vi. Ahora la cartera vale ~$2000 en el momento de este comentario.
Así que la idea de que no hay suficiente dinero para que alguien "regale" su exploit va a llegar a un punto de ruptura eventualmente si continúa. Esto podría volverse más interesante cuanto más dure. ¡Preparando mis palomitas ahora mismo!
- bramhaag
Un YouTuber de pentesting que una vez respeté se metió de lleno en el agujero de la IA y ayer afirmó que creó un POC genérico usando ChatGPT en 2 horas para mostrar lo peligrosos que son los LLMs [0]. Después de eso, promocionó su plataforma de pentesting con IA.
Si hubiera una pizca de verdad en esta afirmación, ¿seguramente alguien ya habría robado el premio? Miles de personas habrían tenido un POC funcional si fuera así de fácil.