「Steal My Bitcoin」挑戦の概要
あるウェブサイトがハッカーに2,000ドル相当のビットコインを盗むよう挑戦しているが、未だに誰もその賞金を獲得していない。最近の独立した調査によれば、このいわゆる脆弱な挑戦は実際には突破不可能かもしれないということが示唆されており、奇妙な疑問が浮かび上がる：このゲームは不正に操作されているのか？
挑戦のルールと目的
「Steal My Bitcoin」へようこそ。ここではサイバーセキュリティの通常のルールがひっくり返されている。ウェブサイトはハッカーを排除するのではなく、彼らを招き入れ、ビットコインの報酬を提供し、それを奪うよう挑戦している。ミッションは非常にシンプルに聞こえる：意図的に脆弱なPHPインストールを悪用し、隠されたビットコインのプライベートキーを取得し、ウォレットを空にする。最初に成功したハッカーが賞金を手に入れる。
賞金は最初500ドルから始まり、寄付によって2,000ドル、約0.025 BTCにまで増加した。2026年10月25日遅くには、ウォレットは17時間以上オンラインのままで未使用の状態だった。しかし、ルールがある。参加者は攻撃をウェブアプリケーションとPHPコンテナに制限しなければならず、基盤となるホストへの攻撃、インフラの破壊、サーバーの過負荷は禁じられている。すべての活動は記録される。
脆弱性とその影響
この挑戦はPHP 8.4.26を宣伝しており、これはPHP2Shellと呼ばれる2つの重大なセキュリティ欠陥に脆弱である。両者は9.2の深刻度スコアを持ち、緊急パッチが10月21日に提供された。脆弱性、CVE-2026-109618およびCVE-2026-109619は、リモートコード実行を許可する可能性のあるメモリ管理の失敗に関与している。特定の構成では、攻撃者は認証なしでコマンドを実行できる。
調査結果と疑問
この挑戦を調査したある個人は、その構成が実際に悪用可能な攻撃面を露出しているかどうかを公に疑問視した。
その個人はHTTPレスポンスヘッダーを通じてnginxとPHP 8.4.26を特定し、PHP 8.2以上のフィンガープリンティングを独立して確認し、サーバーの挙動をローカルテスト環境と比較した。最初はnginxとPHP-FPMまたはApacheの組み合わせを考慮していたが、分析は予想外の方向に進んだ：最も近い挙動の一致は、nginxがPHPの組み込みコマンドラインウェブサーバーにリクエストを転送しているように見えた。
この分析は、ウェブサイトのエントリーポイントに関するさらに挑発的な可能性を提起した。その応答は、PHPの組み込みサーバーがindex.phpスクリプトを実行するのではなく、静的なindex.htmlファイルを配信しているように見えた。その解釈が正しければ、宣伝された脆弱性は挑戦の許可された攻撃面を通じて到達できないかもしれない。それは競技の根本的な変化を意味する。
結論と今後の展望
ハッカーは必ずしも2つの重大なバグを悪用できないわけではない。彼らは必要な条件が決して現れない環境を攻撃している可能性がある。調査を行った人物は、挑戦が善意で運営されているかどうかを疑問視したが、発見が誤っている可能性を認め、修正を歓迎した。
重要なのは、応答のフィンガープリンティングだけではサーバーの完全なアーキテクチャを確立したり、悪用が不可能であることを証明したりできない。しかし、仮説は未検証のままである。一方で、基盤となるPHPの脆弱性は実在し、影響を受けるバージョンを運用している管理者はシステムをパッチする必要がある。
今のところ、Steal My Bitcoinはますます興味深い光景を提供している：公に宣伝されたビットコインの報酬、ハッカーの群れ、そしてデジタル金庫にアクセス可能なドアが最初から存在しないのではないかという疑念が高まっている。
