01 / Informatik
Steal My Bitcoin ist gefallen: Nach 19,28 Stunden ist das Wallet leer.
Am Sonntagnachmittag (15:47 UTC) war es so weit: Nach 19,28 Stunden hat jemand den absichtlich verwundbaren Server von stealmybitcoin.com geknackt und das Preis-Wallet mit zuletzt 2.021 Dollar geleert. Gewinner ist KillaBoi, der den kompletten Angriff als PoC veröffentlicht hat: ein einziges Python-Skript, nur Standardbibliothek, maximal 20 HTTP-Requests, ohne Schleifen und Retries. Die Kette gegen PHP 8.4.26: Ein kleiner Multipart-Upload treibt den Speicherverbrauch über das Limit, PHP hinterlässt beim Session-Upload-Parsing veralteten Zustand in einem Worker, der dann wiederverwendet wird; über Session-Cookies fallen eine Heap- und eine Code-Adresse heraus, und ein finaler Request legt eine gefälschte HashTable so ab, dass PHPs Aufräumroutine zif_system aufruft - der Server schickt Flag und Beweis zurück. Pikanterweise hatten wir gestern noch die Analyse, warum die Massenausnutzung so schwer ist: vier Requests an denselben Worker, genaue Build-Kenntnis. Für die große Welle stimmt das weiter - aber für einen einzelnen guten Angriff haben 19 Stunden gereicht.
Der Unterschied zwischen 'schwer auszunutzen' und 'sicher' beträgt hier genau 19,28 Stunden.
Gewinner-PoC lesengithub.com/KillaBoi · 26.10.
02 / KI
Bis zu 80 Prozent billiger in wenigen Monaten: Was hinter den LLM-Preisstürzen steckt.
Max Woolf hat die Preis-Timeline von OpenAI und Anthropic der letzten Monate auseinandergenommen - und die Richtung ist eindeutig: Frontier-Modelle wurden binnen Monaten um bis zu 80 Prozent billiger. Seine Erklärung hat zwei Ebenen: Zum einen ersetzen neue Modelle die teuren so schnell, dass deren Preise fallen müssen - seit Opus 5.5 rede kaum noch jemand über Fable 5.1 oder GPT-6 Astra, bemerkt er trocken. Zum anderen ist das Servieren schlicht günstiger geworden: Anthropic selbst sagt, Opus 5.5 brauche weniger Compute als Opus 5, und der Preis spiegle das. Modelle mit offenen Gewichten und Zweit-Anbieter hält Woolf für den wirksamen Preisdeckel der Branche. Seine Einordnung als Nutzer: seltsam, aber man wird sich nicht beschweren.
Wer LLM-Kosten plant, sollte auf stabile Preise nicht bauen - in keine Richtung.
Analyse lesenminimaxir.com · 25.10.
03 / Open Source
F-Zero X nativ auf dem 3DS: 60 fps in stereoskopischem 3D - orchestriert von 147 KI-Subagenten.
Der Postmortem zum G-Diffuser-Port liest sich wie zwei Projekte in einem: Erst ein 24-tägiger Sprint, der die F-Zero-X-Dekompilierung auf den New 3DS brachte - native 60 fps, stereoskopisches 3D. Dann 43 Tage für Old-3DS-Support, einen eigenen nativen Renderer und die Inhalte des 64DD-Expansion-Kits. Bemerkenswert neben der Hardware-Arbeit: Eine einzelne Person hat dirigiert, eine langlebige Claude-Session orchestrierte, und 147 Subagenten bauten die erste Phase - so beschreibt es der Autor selbst. Median auf echter Hardware am Ende der ersten Phase: 59,6 fps im vollen Grand Prix, nach 12 bis 20 im ersten Emulator-Versuch. Version 1.0.0 deckt beide Konsolen ab, mit und ohne Expansion-Kit.
Der interessanteste KI-Workflow der Woche ist kein Chatbot, sondern ein 25 Jahre altes Rennspiel auf alter Handheld-Hardware.
Postmortem lesenhypnotize.works · 25.10.
04 / Wildcard
TitleArt: WordArt ist zurück - Texte bauen wie 1997.
Show HN vom Feinsten: TitleArt bringt den WordArt-Baukasten der späten Neunziger in den Browser. Ebenen per Klick oder Klammer-Tasten wählen, Pfeiltasten verschieben, Komma und Punkt rotieren, Minus und Plus skalieren - dazu Impact-Font, Word-Justify, Letter-Justify und Stretch-Justify, als wäre das Office-97-Handbuch nie weg gewesen. Alle Tastenkürzel gibt es auf die Fragezeichen-Taste. Perfekt für Präsentationen, die niemand sehen will, und für alle, die 1997 vermissen.
Manche Tools brauchen keinen Use Case, nur Nostalgie.
Selbst bauentitleart.dvy.io · 26.10.
Ausgabe für Montag, 26. Oktober 2026 (Berliner Zeit), Stand 11:35. Quellen: github.com/KillaBoi, stealmybitcoin.com, minimaxir.com, hypnotize.works, titleart.dvy.io.