Steal My Bitcoin: Tantangan untuk Hacker
Sebuah situs web secara praktis meminta hacker untuk mencuri $2.000 dalam Bitcoin, namun hingga saat ini, tidak ada yang berhasil mengumpulkan hadiah tersebut. Sebuah pemeriksaan independen menunjukkan bahwa tantangan yang diduga rentan ini mungkin tidak dapat dipecahkan, menimbulkan pertanyaan yang menarik: Apakah permainan ini curang? Selamat datang di Steal My Bitcoin, di mana aturan biasa dalam keamanan siber telah dibalik. Alih-alih menjaga hacker agar tetap keluar, situs web ini justru mengundang mereka untuk masuk, menawarkan hadiah Bitcoin dan menantang mereka untuk mengambilnya.
Misi dan Aturan
Misi ini terdengar sangat sederhana: memanfaatkan instalasi PHP yang sengaja dibuat rentan, mengambil kunci privat Bitcoin yang tersembunyi, dan mengosongkan dompet. Hacker pertama yang berhasil mengambil uang tersebut akan mendapatkan hadiah. Hadiah dimulai sekitar $500 sebelum sumbangan mendorongnya menuju $2.000, yang setara dengan sekitar 0,025 BTC. Hingga akhir 25 Oktober 2026, dompet tersebut dilaporkan tetap tidak tersentuh setelah lebih dari 17 jam online.
Namun, ada aturan yang harus diikuti. Peserta harus membatasi serangan mereka pada aplikasi web dan kontainer PHP. Menyerang host yang mendasari, merusak infrastruktur, atau membanjiri server adalah tindakan yang dilarang. Semua aktivitas dicatat.
Kerentanan PHP dan Analisis
Tantangan ini mengiklankan PHP 8.4.26, versi yang rentan terhadap dua kerentanan keamanan kritis yang secara kolektif disebut PHP2Shell. Keduanya memiliki skor keparahan 9.2, dan patch darurat dirilis pada 21 Oktober. Kerentanan tersebut, CVE-2026-109618 dan CVE-2026-109619, melibatkan kegagalan manajemen memori yang dapat memungkinkan eksekusi kode jarak jauh. Dalam konfigurasi tertentu, penyerang dapat mengeksekusi perintah tanpa otentikasi.
Namun, di sinilah cerita mengambil belokan yang aneh. Seseorang yang memeriksa tantangan tersebut secara publik mempertanyakan apakah konfigurasinya benar-benar mengekspos permukaan serangan yang dapat dieksploitasi. Individu tersebut mengidentifikasi nginx dan PHP 8.4.26 melalui header respons HTTP, secara independen mengonfirmasi sidik jari PHP 8.2 atau lebih baru, dan membandingkan perilaku server dengan lingkungan pengujian lokal. Setelah awalnya mempertimbangkan nginx yang dipasangkan dengan PHP-FPM atau Apache, analisis tersebut mengarah pada sesuatu yang tidak terduga: kecocokan perilaku terdekat tampaknya adalah nginx yang meneruskan permintaan ke server web baris perintah bawaan PHP.
Analisis tersebut mengangkat kemungkinan yang lebih provokatif mengenai titik masuk situs web. Responsnya tampak konsisten dengan server bawaan PHP yang menyajikan file index.html statis daripada mengeksekusi skrip index.php. Jika interpretasi ini akurat, kerentanan yang diiklankan mungkin tidak dapat dijangkau melalui permukaan serangan yang diizinkan dalam tantangan tersebut. Ini akan mengubah kompetisi secara fundamental. Hacker tidak akan gagal untuk mengeksploitasi dua bug kritis, tetapi mereka mungkin menyerang lingkungan di mana kondisi yang diperlukan tidak pernah terwujud.
Pertanyaan Etika dan Keamanan
Orang di balik pemeriksaan tersebut mempertanyakan apakah tantangan ini beroperasi dengan itikad baik, tetapi mengakui bahwa temuan tersebut bisa saja salah dan menyambut koreksi. Penting untuk dicatat bahwa pemetaan respons saja tidak dapat menetapkan arsitektur lengkap server atau membuktikan bahwa eksploitasi tidak mungkin. Namun, hipotesis tersebut tetap belum terverifikasi.
Sementara itu, kerentanan PHP yang mendasari adalah nyata, dan administrator yang menjalankan versi yang terpengaruh masih perlu memperbaiki sistem mereka. Untuk saat ini, Steal My Bitcoin menyajikan tontonan yang semakin menarik: hadiah Bitcoin yang diiklankan secara publik, kerumunan hacker yang ingin mencoba, dan kecurigaan yang semakin berkembang bahwa brankas digital mungkin tidak memiliki pintu yang dapat diakses sejak awal.
Cerita minggu ini mencakup sinyal pasar yang berubah, ekspansi DeFi, staking institusional, modal ventura, dan keamanan siber. Uniswap menemukan cara untuk…
