挑战黑客的游戏
一个网站几乎在恳请黑客盗取2000美元的比特币，但至今没有人成功领取这个奖金。现在，一项独立的调查表明，这个所谓的脆弱挑战可能根本无法破解，这引发了一个尴尬的问题：这个游戏是否被操控？
欢迎来到“盗取我的比特币”
在这里，网络安全的常规规则被颠覆。这个网站不是阻止黑客，而是邀请他们参与，提供比特币奖金，并挑战他们去拿走它。任务听起来简单得荒谬：利用一个故意脆弱的PHP安装，获取一个隐藏的比特币私钥并清空钱包。第一个成功的黑客将获得奖金。
最初奖金约为500美元，但在捐款的推动下，奖金增加到了2000美元，约合0.025 BTC。截至2026年10月25日，钱包在上线超过17小时后仍然没有被触及。
挑战规则与漏洞
参与者必须遵循规则，攻击仅限于网络应用程序和PHP容器。攻击底层主机、破坏基础设施或压垮服务器都是被禁止的，所有活动都会被记录。挑战中宣传的PHP版本为8.4.26，这个版本存在两个被称为PHP2Shell的关键安全漏洞。
两个漏洞的严重性评分均为9.2，紧急补丁于10月21日发布。这些漏洞（CVE-2026-109618和CVE-2026-109619）涉及内存管理失败，可能允许远程代码执行。在某些配置下，攻击者可以在没有身份验证的情况下执行命令。
质疑与分析
一位公开审查该挑战的个人质疑其配置是否真的暴露了可被利用的攻击面。
该个人通过HTTP响应头识别出nginx和PHP 8.4.26，独立确认了PHP 8.2或更新版本的指纹，并将服务器的行为与本地测试环境进行了比较。在最初考虑nginx与PHP-FPM或Apache的组合后，分析指向了一个意想不到的结果：最接近的行为匹配似乎是nginx将请求转发到PHP的内置命令行Web服务器。
该分析提出了一个更具挑衅性的可能性，关于网站的入口点。其响应似乎与PHP的内置服务器交付静态index.html文件而不是执行index.php脚本一致。如果这种解释是准确的，那么宣传的漏洞可能无法通过挑战允许的攻击面进行访问。这将从根本上改变比赛的性质。
诚信与漏洞
黑客未必是在失败地利用两个关键漏洞。他们可能是在攻击一个所需条件从未出现的环境。进行审查的人质疑该挑战是否在诚信运营，但承认其发现可能是错误的，并欢迎纠正意见。
重要的是，仅凭响应指纹无法建立服务器的完整架构或证明利用不可能。然而，这一假设仍未得到验证。与此同时，底层的PHP漏洞是真实存在的，运行受影响版本的管理员仍需修补其系统。
引人注目的现象
至今，“盗取我的比特币”呈现出越来越引人注目的景象：一个公开宣传的比特币奖金，一群想要成为黑客的人，以及对数字保险库可能根本没有可访问的门的日益怀疑。
本周的报道涵盖了市场信号的变化、DeFi扩展、机构质押、风险投资和网络安全。Uniswap找到了一种方法……
