시계 똑딱, 웹사이트 해커들에게 비트코인 절도 도전

아무도 성공할 수 없는 2,000달러 비트코인 강탈

사이버 보안의 일반적인 규칙이 완전히 뒤집힌 ‘스틸 마이 비트코인(Steal My Bitcoin)’에 오신 것을 환영합니다. 이 웹사이트는 해커들을 차단하는 대신 안으로 초대하고, 비트코인 현상금을 걸며 감히 가져가 보라고 도전합니다. 임무는 터무니없이 간단해 보입니다. 의도적으로 취약점을 남긴 PHP 설치를 악용해 숨겨진 비트코인 개인 키를 찾아내고 지갑을 비우는 것입니다. 가장 먼저 성공한 해커가 상금을 가져갑니다.

상금은 처음에 약 500달러였으나, 기부금이 모여 2,000달러(약 0.025 BTC) 수준으로 늘어났습니다. 2026년 10월 25일 늦은 시간 기준으로, 이 지갑은 온라인에 공개된 지 17시간이 넘도록 아무도 건드리지 않은 상태로 남아 있는 것으로 알려졌습니다. 다만 몇 가지 규칙이 있습니다. 참가자는 웹 애플리케이션과 PHP 컨테이너로만 공격을 제한해야 합니다. 기반 호스트를 공격하거나, 인프라를 파괴하거나, 서버를 마비시키는 행위는 금지됩니다. 모든 활동은 기록됩니다.

두 가지 치명적인 PHP 결함, 뜻밖의 난관에 부딪히다

이 챌린지는 ‘PHP2Shell’로 통칭되는 두 가지 중대한 보안 결함에 취약한 버전인 PHP 8.4.26을 대상으로 합니다. 두 결함 모두 심각도 점수 9.2를 기록했으며, 긴급 패치는 10월 21일에 배포되었습니다.

CVE-2026-109618 및 CVE-2026-109619로 명명된 이 취약점들은 원격 코드 실행을 허용할 가능성이 있는 메모리 관리 오류와 관련이 있습니다. 특정 구성에서는 공격자가 인증 없이 명령을 실행할 수도 있습니다. 하지만 여기서 이야기가 기묘한 방향으로 흘러갑니다.

이 문제를 조사한 한 전문가는 해당 구성이 실제로 악용 가능한 공격 표면을 노출하는지 공개적으로 의문을 제기했습니다. 이 전문가는 HTTP 응답 헤더를 통해 nginx와 PHP 8.4.26을 식별하고, PHP 8.2 이상 버전의 지문을 독립적으로 확인했으며, 서버의 동작을 로컬 테스트 환경과 비교 분석했습니다.

처음에는 nginx가 PHP-FPM이나 Apache와 결합된 경우를 고려했으나, 분석 결과 예상치 못한 사실이 드러났습니다. 행동 양상이 가장 유사한 것은 nginx가 PHP의 내장 명령줄 웹 서버로 요청을 전달하는 경우로 보였습니다.

비트코인 현상금은 불가능한 도전인가?

이 분석은 웹사이트의 진입점에 대해 훨씬 더 도발적인 가능성을 제기했다. 해당 웹사이트의 응답은 index.php 스크립트를 실행하기보다는 PHP의 내장 서버가 정적 index.html 파일을 제공하는 것과 일치하는 것으로 보였다. 만약 이 해석이 정확하다면, 공고된 취약점들은 챌린지에서 허용된 공격 표면을 통해서는 접근할 수 없을지도 모른다.

이 경우 대회의 성격이 근본적으로 달라질 것입니다. 해커들이 반드시 두 가지 중대한 버그를 악용하는 데 실패한 것은 아닐 수 있습니다. 오히려 필요한 조건이 결코 충족되지 않는 환경을 공격하고 있을 수도 있습니다. 이 분석을 수행한 사람은 챌린지가 선의로 운영되고 있는지 의문을 제기했지만, 분석 결과가 틀릴 수도 있음을 인정하며 정정을 환영했습니다.

중요한 점은, 응답 지문 분석만으로는 서버의 전체 아키텍처를 파악하거나 악용이 불가능함을 증명할 수 없다는 것입니다. 그럼에도 불구하고 이 가설은 아직 검증되지 않은 상태입니다. 한편, 근본적인 PHP 취약점은 실제로 존재하며, 영향을 받는 버전을 실행 중인 관리자들은 여전히 시스템에 패치를 적용해야 합니다.

현재로서는 ‘Steal My Bitcoin’이 점점 더 흥미로운 광경을 보여주고 있다. 공개적으로 공고된 비트코인 현상금, 해커 지망생들로 가득 찬 군중, 그리고 디지털 금고에 애초에 접근할 수 있는 문이 없을지도 모른다는 의심이 커지고 있는 상황이다.