このサーバーに隠された約503ドル相当のBitcoinを盗み出せるか
Steal My Bitcoin
このサーバー上には約503ドル相当のBitcoinの鍵が隠されており、PHPユーザーアカウントから`print-flag`バイナリを通じてアクセスできる。使用されているPHPのバージョンはPHP2SHELLのCVE公開前のもので、最初にウォレットを手に入れた人が勝ちという挑戦状。お金が不要ならGiveWellへの寄付も呼びかけている。
最初にウォレットを手に入れた人が勝ちだ。
HNでの議論
257- technion
このスレッドには皮肉が溢れているが、1時間経ってもまだ未解決だという事実が、私の見解では物語を終わらせている。"何千ものエージェントの群れが自律的にあらゆるサイトをその作者のために侵害している"とか、私が読んできたX / LinkedInのくだらない話は存在しない。
明らかに起きていない。
- dguido
これは罠のように見える。これを主張する動作するRCEがあるが、それを実演したくない。なぜなら、我々が構築したものが他人に漏れるかもしれないからだ。人々がパッチを当てるための時間的猶予はまだあり、そのリスクを冒したくない。
- nayuki
サーバーが過負荷になっているので、参考までにテキストを載せておく：
私のBitcoinを盗んでください
ハッキング成功なしで0.65時間
このサーバーには約502ドル相当のBitcoinキーが隠されています。
それはprint-flagバイナリを通じてPHPユーザーアカウントからアクセス可能です。
このPHPバージョンはPHP2SHELLのCVEが公開される前のものです。
最初にウォレットを手に入れた人の勝ちです。お金が不要なら、必要としている人々に寄付することを検討してください：givewell.org。
すべてのトラフィックは記録されます。これは既知の脆弱なマシンなので、プライバシーは保証できません。他の攻撃者が当社の制御を超えて活動やデータにアクセスまたは監視する可能性があります。プライベートにしておきたいものは送信しないでください。
チャレンジウォレット
エクスプローラー ↗
bc1qlnu5…t3cxqy
0.00625104 BTC
≈ $502.35 USD
stealmybitcoin.com · 参加規約
- scottydelta
5つのAIエージェントのうち2つが、フラグ（ウォレットキー）を見つける作業に協力することに同意しました。これまでの進捗は以下の通りです：
1. GLM-5.3：公開チャレンジと解釈し、現在フラグを見つけようとしています。
2. GLM-5.3-Flash：これも公開チャレンジと解釈し、解読に取り組んでいます。
3. GPT-6.1-Sol：サイバーセキュリティのリクエストとしてフラグを立て、サイバーセキュリティプログラムへの登録を指示しました。
4. DeepSeek-v4.1-Flash（OpenRouter経由）：エクスプロイトの実行を拒否しました。
5. Claude Fable-5.1（OpenRouter経由）：プロバイダー側のコンテンツフィルターエラーを返しました。
異なるエージェントとのすべてのセッションは、私が開発中のアプリであるTarvis（https://tarvis.io）上で実行されています。Railwayのセルフホスト版のようなもので、AIエージェントとクラウド開発環境が組み込まれていると考えてください。
ウェブサイトは過負荷になっているようで、チャレンジに取り組むことに同意した両方のエージェントが現在接続できません。HNの集中アクセスによるダウンでしょう。
編集：オンラインに戻りました！
- jerrythegerbil
これはしばらく未請求のままになるだろう。今日中に請求される可能性はまだあるが、
人々は実際にエクスプロイトを持っている。これがハニーポットであることのリスク（そして機能するエクスプロイトを渡してしまうこと）対、単に…参加せずにより価値の高い標的をハッキングする（攻撃側）か、追加の詳細を一切流さない（脆弱性について特権的な情報を持つ防御側）ことの機会費用を考えると、私はただ…
Bitcoinを盗むことを実演するために必要なものに対して、ここでの価値提案はあまりにもおかしいほど低い。
だからといって、人々が試みない、あるいは成功しないとは限らない！しかし何のために？ひどい数学力と、経済学の根本的な誤解を実演するため？
私も、私の友人の多くや料理人たちも、これを簡単に取れるだろう。違いは、取らないことを知っていることだ。
これを1万5千〜2万5千ドルにすれば即座に奪われるだろう。おそらくPHP2Shellを全く使わずに。
- hpone91
ええ、この特定のセットアップはPHP2SHELLに対して脆弱ではありません。CLIサーバー + 1 MiBの上限 + 不活性なページ + 高いメモリ制限が、2つのCVEの可能性をすべて排除します。実際に脆弱なセットアップのためにPoCを収集しているだけでしょう。
- 40four
Bitcoinの額は時間とともに増えているようだ。前回見たときは約500ドルだった。今このコメントを書いている時点で、ウォレットは約2000ドルの価値がある。
だから、誰かがエクスプロイトを「手放す」にはお金が足りないという考えは、続けばいずれ限界に達するだろう。長引くほど面白くなるかもしれない。今すぐポップコーンを用意しよう！
- bramhaag
かつて尊敬していたペネトレーションテストのYouTuberがAIの深みにはまり、昨日ChatGPTを使って2時間で汎用PoCを作成し、LLMがいかに危険かを示したと主張した[0]。その後、彼は自分のAIペネトレーションプラットフォームを宣伝した。
この主張に一片の真実でもあるなら、今頃誰かが賞品を盗んでいたはずではないか？これほど簡単なら、何千人もの人が動作するPoCを持っていただろう。