# Cambio en PHP abrió paso a la intrusión en un reto de Bitcoin > El desafío Steal My Bitcoin cayó tras un ajuste del servidor y dejó dudas sobre la recompensa, la clave guardada y el papel real de la inteligencia artificial. Por Marbella P.A. · 26 de octubre de 2026 · Criptomonedas ![Primer plano de dos monedas doradas de Bitcoin sobre la pantalla de una tableta que muestra datos financieros.](https://cdn.panorama.onl/uploads/7f54e423aade416a-scaled.webp) El desafío público Steal My Bitcoin terminó con una intrusión exitosa el 25 de octubre, menos de tres horas después de que su operador habilitara una página PHP accesible. El investigador conocido como Killa ejecutó código en el servidor y obtuvo una credencial de una billetera de Bitcoin, según confirmó James Pavur a partir de los registros del sistema. ## El cambio que expuso la falla Pavur había configurado el reto para servir HTML ordinario mediante el servidor web integrado de PHP, una decisión que limitaba el acceso a la función vulnerable. Esa elección fue cuestionada por especialistas que consideraron que el escenario no permitía medir de forma realista la explotabilidad de las fallas críticas identificadas como CVE-2026-109618 y CVE-2026-109619. Después, Pavur reconoció que añadió una página PHP accesible cerca de las 13:00 UTC del 25 de octubre. La explotación exitosa quedó registrada a las 15:47:38 UTC, un margen que cambió por completo el escenario del reto y abrió la puerta al ataque. Claves - Killa consiguió ejecutar código en el servidor el 25 de octubre. - La página PHP accesible se habilitó cerca de las 13:00 UTC. - La explotación se registró a las 15:47:38 UTC. - Pavur dijo que la clave privada guardada era incorrecta. ## La recompensa, la clave y la duda sobre la IA La información divulgada indica que el operador había guardado una clave privada de Bitcoin equivocada, lo que complica la lectura del resultado. La cobertura no precisa el monto de la recompensa ni confirma que fondos asociados hayan sido transferidos; por eso, la credencial obtenida no equivale automáticamente a un pago efectivo. Tras el ataque, Killa publicó en GitHub una prueba de concepto con el proceso de explotación y una reproducción en laboratorio. Sin embargo, ese material no contiene un registro exhaustivo del intento original, de modo que sí respalda una ejecución exitosa de código, pero deja vacíos sobre la cronología completa y las herramientas concretas utilizadas. El caso también dejó abierta la discusión sobre la inteligencia artificial. La documentación disponible no demuestra que un sistema autónomo haya ejecutado el ataque por su cuenta, y la publicación no separa con precisión la intervención humana de cualquier asistencia automatizada. Mohan “s1r1us” Pedhapati advirtió que usar un desafío mal configurado como prueba de seguridad podía dar una falsa confianza y retrasar parches necesarios. En ese marco, el episodio confirmó que la configuración del servidor importaba tanto como la vulnerabilidad misma. También mostró que una demostración pública puede probar explotabilidad bajo ciertas condiciones, sin cerrar por completo preguntas sobre la recompensa, la clave almacenada y el papel real de la IA. --- **Fuente:** https://panorama.onl/criptomonedas/cambio-en-php-abrio-paso-a-la-intrusion-en-un-reto-de-bitcoin-20261026-0906.html Publicado por Panorama Online — contenido de libre lectura; se permite citar con atribución y enlace a la URL original.