구글에서 선호하는 출처로 추가
PHP 서버 침입해 비트코인 개인키 추출…상금 지갑 키와 달라 탈취는 피해
서도윤 기자
보안 연구자가 공개 해킹 실험에서 PHP 서버에 침입해 비트코인 개인키를 추출했다. 추출한 키가 상금 지갑의 키와 달라 비트코인은 옮겨지지 않았다.
토포AI로 이 기사 더 깊이 읽기
보안 연구자가 공개 해킹 실험에서 PHP 서버에 침입해 저장된 비트코인(BTC) 개인키를 추출했다. 공격은 운영자가 접근 가능한 PHP 페이지를 추가한 뒤 약 2시간 47분 만에 성공했지만, 추출된 키가 상금 지갑의 키와 달라 비트코인은 탈취되지 않았다.
크립토슬레이트는 온라인에서 킬라(Killa)라는 이름으로 활동하는 보안 연구자가 ‘스틸 마이 비트코인(Steal My Bitcoin)’ 실험에서 서버 침입에 성공했고, 운영자 제임스 파버(James Pavur)가 서버 로그로 침입을 확인했다고 보도했다.
실험은 21일 공개된 PHP 취약점 2건(CVE-2026-109618·CVE-2026-109619)이 실제 서버에서 악용될 수 있는지 확인하기 위해 진행됐다. 두 취약점은 영향을 받는 서버에서 외부인이 원격으로 코드를 실행할 수 있어 보안 문제가 제기됐다.
초기 설정에서는 공격자가 취약한 기능에 접근하기 어려웠다. 파버는 처음에 PHP 내장 웹서버로 일반 HTML 페이지만 제공했고, 접속 요청이 몰려 서버도 불안정했다. 보안 연구자들은 이 설정만으로는 취약점의 위험성을 판단하기 어렵다고 지적했다.
파버는 25일 오후 10시께 접근 가능한 PHP 페이지를 추가했다. 킬라는 26일 오전 0시 47분 38초 서버에서 코드 실행에 성공했다. 전체 실험이 시작된 때부터가 아니라, 공격에 필요한 기능이 열린 뒤 약 2시간 47분 만에 성공한 것이다.
킬라는 이후 깃허브에 공격 재현 문서를 공개했다. 문서에는 서버 응답에서 개인키를 얻은 과정과 별도의 실험 환경에서 공격을 재현한 결과가 담겼다. 킬라는 실제 공격 당시 주고받은 요청 전문과 응답 헤더를 모두 보존하지는 못했다고 설명했다.
이번 실험에서 개인키를 추출했지만 상금 지갑의 비트코인을 옮기지는 못했다. 파버가 서버에 저장한 키가 상금이 든 주소의 개인키와 달랐기 때문이다. 파버는 실험 성공을 인정하고 약 2000달러(약 265만원) 상당의 비트코인을 별도로 지급했다.
PHP 취약점 2건이 인증 없이 서버에서 원격 코드 실행을 허용할 수 있다는 내용은 앞서 보도됐다. 원격 코드 실행은 외부 공격자가 서버에 명령을 실행하는 유형으로, 서버에 보관된 정보가 공격 대상이 될 수 있다.
개인키는 비트코인 지갑의 자금을 통제하는 인증 정보다. 이번 실험은 설정을 바꾼 특정 PHP 서버에서 침입과 개인키 추출이 이뤄진 사례다. 공개된 기록만으로는 인공지능(AI)이 공격을 자율적으로 수행했는지 판단할 수 없다.
Comment 0
불러오는 중…