해커, 19시간 만에 비트코인 PHP 챌린지 2,000달러 상금 획득

보안 연구원은 의도적으로 패치되지 않은 PHP 서버를 공격해 단 19시간 만에 비트코인 보상을 청구하는 데 성공했습니다.

공개된 이 스텐트는 최근 PHP2Shell 결함이 알려진 만큼 위험한지 확인하기 위한 테스트였습니다.

Stealmybitcoin.com은 15:47 UTC 시간, 10월 25에 승리를 기록했습니다.

게임이 호스팅된 사이트인 Stealmybitcoin.com은 보상이 청구되었음을 검증했으며, 결과 페이지는 19.28시간 후에 비트코인이 탈취되었고 승리가 일요일인 10월 25일 15:47 UTC에 기록되었음을 보여줍니다.

상금 규모는 당시 가치로 $2,021.22에 해당하는 0.02511679 BTC였습니다. 해당 페이지에는 “현재 이 서버에는 비트코인이 없습니다”라고 명시되어 있으며, 향후 추가 도전 과제가 있을 수 있다고 덧붙였습니다.

KillaBoi라는 닉네임을 사용한 우승자는 GitHub에 개념 증명(Proof-of-Concept) 작성물을 게시했습니다. 대상 서버는 PHP 8.4.26을 실행 중이었습니다.

작성된 보고서에서는 복구된 단일 개인 키가 홈페이지에 표시된 상금 주소에서 파생되지 않았다고 밝혔습니다. 이는 이메일을 통해 인정된 제작자의 실수였으며, 사이트는 여전히 해당 도전을 완료된 것으로 간주합니다.

이 대회는 hacker.house와 연결된 @hackerfantastic 계정을 통해 더 많은 사람들에게 알려졌습니다. 해당 계정은 10월 25일 게시글에서 챌린지의 작동 방식을 설명했습니다.

이번 승리는 10월 21 PHP2Shell 긴급 수정 조치 이후 이루어졌습니다.

이번 실험은 PHP의 두 가지 중대한 버그를 둘러싼 소동이 발생한 며칠 뒤 이루어졌습니다. 취약점 관련 세부 사항이 온라인으로 유출되자, Cryptopolitan의 보도에 따르면 PHP 유지보수팀은 예정보다 하루 앞선 10월 21일에 긴급 패치를 배포했습니다.

CVE-2026-109618 및 CVE-2026-109619로 추적되고 PHP2Shell로 명명된 이 취약점들은 모두 10점 만점에 9.2점의 심각도 점수를 받았으며, 패치되지 않은 서버에서 원격 코드 실행을 가능하게 합니다.

PHP는 알려진 서버 측 언어를 사용하는 사이트의 약 70%에서 사용되며, 많은 사이트들이 예방 차원에서 서비스를 중단했습니다. 핀란드, 네덜란드, 프랑스는 모두 정부 웹사이트를 일시적으로 오프라인으로 내렸습니다.

Cloudflare는 버그가 공개된 직후 수백만 건의 공격 시도가 있었다고 밝혔습니다.

OpenAI를 포함한 컨소시엄에는 수정 작업을 위해 두 달이 주어졌습니다. OpenAI는 결함을 발견한 것과 동일한 AI 도구가 공격자들이 익스플로잇을 빠르게 작성하는 데 도움이 될 수 있다고 밝혔습니다.

사이트 운영자는 해당 사이트를 호스팅한 경험을 별도로 정리하여 공개할 것이라고 약속했습니다.