해킹에 성공하면 비트코인 503달러를 가져가세요
Steal My Bitcoin
한 서버에 약 503달러 상당의 비트코인 키가 숨겨져 있다. PHP 사용자 계정에서 `print-flag` 바이너리를 통해 접근할 수 있으며, PHP2SHELL 취약점 공개 이전 버전의 PHP가 설치되어 있다. 가장 먼저 지갑을 얻는 사람이 승자가 된다. 돈이 필요 없다면 givewell.org에 기부하라고 권한다.
가장 먼저 지갑을 얻는 사람이 승리합니다.
HN 토론
257- technion
이 스레드에는 냉소적인 반응이 많지만, 이게 한 시간이 지나도 여전히 열려 있다는 사실이 내 관점에서는 논쟁을 끝내버린다. "수천 개의 에이전트 떼가 자율적으로 모든 사이트를 해킹해서 작성자에게 넘긴다"거나 내가 읽어온 X / LinkedIn의 다른 헛소문 같은 건 없다.
그런 일은 분명히 일어나지 않고 있다.
- dguido
이건 함정처럼 보인다. 우리에게는 이걸 차지할 수 있는 동작하는 RCE가 있지만, 그걸 시연하고 싶지 않다. 왜냐하면 우리가 만든 것을 다른 사람들에게 유출할 수도 있기 때문이다. 사람들이 패치할 수 있는 시간이 아직 남아 있고, 그 위험을 감수하고 싶지 않다.
- nayuki
서버가 과부하되고 있어서 참고용으로 텍스트를 남긴다:
내 비트코인을 훔쳐가세요
성공적인 해킹 없이 0.65시간 경과
이 서버에는 약 $502 상당의 비트코인 키가 숨겨져 있습니다.
이 키는 print-flag 바이너리를 통해 PHP 사용자 계정에서 접근할 수 있습니다.
이 PHP 버전은 PHP2SHELL CVE가 공개되기 전의 버전으로 선택되었습니다.
지갑을 가장 먼저 차지하는 사람이 승리합니다. 돈이 필요 없다면, 필요한 사람들에게 기부하는 것을 고려해 보세요: givewell.org.
모든 트래픽은 기록됩니다. 이 머신은 알려진 취약 머신이므로 프라이버시를 보장할 수 없습니다. 다른 공격자들이 우리의 통제를 벗어나 활동이나 데이터에 접근하거나 모니터링할 수 있습니다. 비공개로 유지하고 싶은 것은 제출하지 마세요.
챌린지 지갑
탐색기 ↗
bc1qlnu5…t3cxqy
0.00625104 BTC
≈ $502.35 USD
stealmybitcoin.com · 참여 약관
- scottydelta
다섯 개의 AI 에이전트 중 두 개가 플래그(지갑 키)를 찾는 데 나와 함께 작업하기로 동의했다. 지금까지의 진행 상황은 다음과 같다:
1. GLM-5.3: 공개 챌린지로 해석했고 현재 플래그를 찾으려고 시도 중이다.
2. GLM-5.3-Flash: 역시 공개 챌린지로 해석했고 크랙 작업을 진행 중이다.
3. GPT-6.1-Sol: 사이버보안 요청으로 신고하고 그들의 사이버보안 프로그램에 등록하라고 안내했다.
4. DeepSeek-v4.1-Flash (OpenRouter 경유): 익스플로잇 실행을 거부했다.
5. Claude Fable-5.1 (OpenRouter 경유): 제공자 측 콘텐츠 필터 오류를 반환했다.
서로 다른 에이전트와의 모든 세션은 내가 만들고 있는 앱인 Tarvis(https://tarvis.io)에서 실행 중이다. Railway의 자체 호스팅 버전인데 AI 에이전트와 클라우드 개발 환경이 내장되어 있다고 생각하면 된다.
웹사이트가 과부하된 것 같고, 챌린지 작업에 동의했던 두 에이전트 모두 이제 접속할 수 없다. HN의 '죽음의 포옹'인가 보다.
수정: 다시 온라인 상태다!
- jerrythegerbil
한동안은 청구되지 않을 것이다. 하루 안에 청구될 수도 있지만,
사람들은 익스플로잇을 가지고 있다. 이것이 허니팟일 위험(그리고 동작하는 익스플로잇을 넘겨줄 위험) 대 그냥… 참여하지 않고 더 가치 있는 대상(공격자 진영)을 해킹하거나 추가 세부 정보를 유포하지 않는 것(취약점에 대한 특권 정보를 가진 방어자 진영) 사이의 기회비용… 나는 그냥…
비트코인을 훔치는 것을 시연하는 데 필요한 것에 비해 여기서 제시하는 가치 제안은 너무나 웃기게 낮다.
그렇다고 사람들이 시도하지 않거나, 심지어 성공하지 않으리라는 뜻은 아니다! 하지만 무슨 목적으로? 형편없는 수학 실력과 경제학에 대한 근본적인 오해를 과시하려는 건가?
나와 내 친구들, 그리고 요리사들은 이걸 쉽게 차지할 수 있다. 차이는 우리가 하지 말아야 한다는 것을 안다는 것이다.
$15-25k로 올리면 즉시 낚아채질 것이고, 아마 PHP2Shell을 전혀 쓰지 않고도 그럴 것이다.
- hpone91
네, 이 특정 설정은 PHP2SHELL에 취약하지 않습니다. CLI 서버 + 1 MiB 제한 + 비활성 페이지 + 높은 메모리 제한이 두 CVE의 가능성을 모두 제거합니다. 그냥 실제로 취약한 설정을 위한 PoC를 수집하는 것뿐일 겁니다.
- 40four
비트코인 금액이 시간이 지나면서 올라가는 것 같다. 마지막으로 봤을 때는 ~$500이었다. 지금 이 댓글 시점에서 지갑은 ~$2000 상당이다.
그래서 누군가가 익스플로잇을 '내놓기'에는 돈이 충분하지 않다는 생각은 계속된다면 결국 한계점에 도달할 것이다. 시간이 지날수록 더 흥미로워질 수도 있다. 지금 팝콘 준비 중이다!
- bramhaag
내가 한때 존경했던 모의해킹 유튜버가 AI 토끼굴에 깊이 빠져서 어제 ChatGPT로 2시간 만에 일반적인 PoC를 만들어 LLM이 얼마나 위험한지 보여줬다고 주장했다[0]. 그 후 그는 자신의 AI 모의해킹 플랫폼을 홍보했다.
이 주장에 한 줌의 진실이라도 있다면, 분명 누군가가 지금쯤 상금을 훔쳐갔을 것이다. 이렇게 쉽다면 수천 명이 동작하는 PoC를 가지고 있었을 것이다.