비트코인 해킹 도전: 진실과 의혹
한 웹사이트가 해커들에게 2,000달러 상당의 비트코인을 훔치라고 도전하고 있지만, 지금까지 아무도 상금을 수령하지 못했다. 최근 독립적인 조사가 이 도전이 실제로 해킹이 불가능할 수 있음을 시사하며, 불편한 질문을 제기하고 있다: 이 게임은 조작된 것인가?
‘Steal My Bitcoin’의 도전
‘Steal My Bitcoin’에 오신 것을 환영합니다. 이곳에서는 사이버 보안의 일반적인 규칙이 뒤집혔다. 해커들을 차단하는 대신, 이 웹사이트는 그들을 초대하고 비트코인 보상을 제공하며 도전장을 내민다. 미션은 간단하게 들리지만, 고의로 취약한 PHP 설치를 이용해 숨겨진 비트코인 개인 키를 찾아내고 지갑을 비우는 것이다. 첫 번째로 성공한 해커가 상금을 가져간다. 상금은 처음에 약 500달러에서 시작했으나 기부가 이어지면서 2,000달러, 즉 약 0.025 BTC로 증가했다. 2026년 10월 25일 늦게까지 지갑은 17시간 이상 온라인 상태에서 손대지 않은 것으로 보고되었다.
도전의 규칙과 취약점
그러나 규칙이 있다. 참가자는 공격을 웹 애플리케이션과 PHP 컨테이너로 제한해야 하며, 기본 호스트를 공격하거나 인프라를 방해하거나 서버를 과부하시키는 것은 금지된다. 모든 활동은 기록된다. 이 도전은 PHP 8.4.26을 광고하며, 이는 PHP2Shell이라는 두 가지 주요 보안 결함에 취약하다. 두 결함 모두 심각도 점수가 9.2에 달하며, 긴급 패치가 10월 21일에 배포되었다. 이 취약점인 CVE-2026-109618과 CVE-2026-109619는 원격 코드 실행을 허용할 수 있는 메모리 관리 실패와 관련이 있다. 특정 구성에서는 공격자가 인증 없이 명령을 실행할 수 있다.
조사의 의문과 발견
그러나 여기서 이야기는 이상한 방향으로 전개된다. 이 도전을 조사한 한 개인은 그 구성에서 실제로 공격 가능한 표면이 노출되는지에 대해 공개적으로 의문을 제기했다. 이 개인은 HTTP 응답 헤더를 통해 nginx와 PHP 8.4.26을 확인하고, PHP 8.2 이상 버전의 지문을 독립적으로 확인했으며, 서버의 동작을 로컬 테스트 환경과 비교했다. 처음에는 nginx와 PHP-FPM 또는 Apache의 조합을 고려했으나, 분석 결과 예상치 못한 방향으로 나아갔다: 가장 가까운 동작 일치는 nginx가 PHP의 내장 명령줄 웹 서버로 요청을 전달하는 것으로 보였다.
이 분석은 웹사이트의 진입점에 대한 더욱 도발적인 가능성을 제기했다. 그 응답은 PHP의 내장 서버가 index.php 스크립트를 실행하는 대신 정적 index.html 파일을 제공하는 것과 일치하는 것으로 보였다. 만약 이 해석이 정확하다면, 광고된 취약점은 도전에서 허용된 공격 표면을 통해 접근할 수 없을 것이다.
이는 경쟁의 본질을 근본적으로 변화시킬 것이다. 해커들이 두 가지 주요 버그를 악용하지 못하는 것이 아니라, 필요한 조건이 결코 발생하지 않는 환경을 공격하고 있을 수 있다.
결론과 현재 상황
이 조사를 수행한 사람은 이 도전이 선의로 운영되고 있는지 의문을 제기했지만, 그 발견이 잘못되었을 수 있음을 인정하고 수정 사항을 환영했다. 중요하게도, 응답 지문만으로는 서버의 전체 아키텍처를 확립하거나 악용이 불가능하다고 증명할 수 없다. 그럼에도 불구하고 가설은 검증되지 않은 상태로 남아 있다. 한편, 기본 PHP 취약점은 실제로 존재하며, 영향을 받는 버전을 운영하는 관리자들은 여전히 시스템을 패치해야 한다. 현재로서는 Steal My Bitcoin이 점점 더 호기심을 자아내는 광경을 제공하고 있다: 공개적으로 광고된 비트코인 보상, 해커가 되고자 하는 군중, 그리고 디지털 금고에 접근 가능한 문이 없을지도 모른다는 의구심이 커지고 있다.
