# 비트코인을 도난당하지 않은 사이트에서 PHP 업데이트를 적용하지 않은 사이트에서 19 시간 만에 해킹 챌린지

> https://bookfactory.kr/board/news/23928
> 게시판: 뉴스
> 작성자: tachikoma43
> 작성일: 2026-10-27T05:10:01.617Z

---

2026 년 10 월 25 일, PHP 의 심각한 취약점을 악용하여 웹사이트에서 비트코인을 도난당하게 만드는 도전 'Steal My Bitcoin'이 개최되었습니다. 참가자들은 보안 업데이트를 적용하지 않은 서버에 침입을 시도했으며, 비트코인 비밀 키를 획득할 경우 상금을 받을 수 있는 규칙으로 진행되었습니다. 약 19 시간 후 공격자가 등장하여 약 2,000 달러 (약 31 만 4,000 원) 상당의 비트코인을 획득한 것으로 보고되었습니다. Challenge won · Steal my Bitcoinhttps://stealmybitcoin.com/PHP 는 WordPress 와 같은 웹 사이트에서 널리 사용되는 프로그래밍 언어입니다. 2026 년 10 월에는 공격자가 서버에서 외부에서 비정상적인 프로그램을 실행할 수 있는 'PHP2Shell'이라는 취약점이 2 건 발견되었으며, 일본 시간 10 월 21 일 23 시경에 긴급 업데이트가 공개되었습니다. PHP 에 심각한 수준 '9.2'의 취약성이 2 건 발각되어 서버 탈취의 우려로 긴급 패치가 10 월 21 일에 공개됨 - GIGAZINE

PHP2Shell 을 악용하면 서버 내 정보를 도용하거나 저장된 파일을 변조할 수 있습니다. 그러나 취약점이 존재한다고 해서 반드시 공격이 성공하는 것은 아니며, 실제로 악용 가능한지는 서버 설정 등에도 좌우됩니다. 이에 등장한 것이 취약한 PHP 를 의도적으로 실행하게 하는 웹사이트 'Steal My Bitcoin' 입니다. 운영자는 PHP2Shell 을 실제로 악용할 수 있는 인물이 있는지 확인하기 위해 비트코인을 상금으로 한 챌린지를 기획했다고 합니다.

챌린지에서는 취약점이 수정되기 전인 PHP 8.4.26 을 사용하는 서버가 준비되었습니다. 참가자들은 서버에 대한 공격을 통해 비트코인 송금에 필요한 '비밀키'를 찾아내고, 상금을 위한 지갑에서 비트코인을 이동시키는 것을 목표로 합니다. 상금은 처음에는 약 500 달러 (약 7 만 9 천 원) 였으나, 기부로 인해 약 2000 달러 (약 31 만 4 천 원) 까지 증가했습니다. 공격 대상은 웹 애플리케이션과 PHP 실행 환경으로 제한되었으며, 기반 서버에 대한 공격이나 서비스를 방해하는 행위는 금지되어 있었습니다. 그러나 챌린지가 시작되어 17 시간이 지났음에도 불구하고 상금을 획득한 참가자는 나타나지 않았습니다. 보안 연구자들은 "서버 설정으로 인해 취약점을 악용하기 위한 프로세스에 도달할 수 없는 것 아니냐"는 의문이 제기되었습니다. 실제로 사이트를 조사한 보안 연구자 LiveOverflow 는 초기 서버는 PHP 프로그램이 실행되는 페이지를 공개하지 않았다고 지적했습니다. 운영자는 이후 일본시간 10 월 25 일 22 시경에 PHP 프로그램이 실행되는 페이지를 추가했습니다.

PHP2SHELL 가 실제로 취약한지 증명하려는 https://t.co/l4Hl3MWVLdCTF 를 더 자세히 살펴보았습니다. 그래서 직접 테스트해 보았습니다. 참고: 제 분석이 틀릴 수 있으며, 반박이 들어오면 기꺼이 인정하겠습니다. 제가 발견한 내용은 다음과 같습니다:• 서버가 응답합니다…pic.twitter.com/8953HiFORs

그리고 일본 시간 2026 년 10 월 26 일 0 시 47 분경, 참가자 KillaBoi 가 공격에 성공했습니다. 시작부터 약 19 시간 17 분, PHP 실행 페이지가 추가된 후 약 3 시간 만에 챌린지를 돌파하여 0.02511679 BTC(약 31 만 7 천 원) 의 상금을 획득했습니다. KillaBoi 는 해킹 방법을 GitHub 에서 공개했습니다. 설명에 따르면, PHP 가 메모리 부족에 빠졌을 때의 처리를 악용하여 서버 내부 정보를 획득하고, 최종적으로 서버 상에서 명령어를 실행하는 데 성공했다고 합니다. PHP2Shell 가 실제 공격으로 이어진다는 것을 보여주는 결과였습니다. GitHub - KillaBoi/StealMyBitcoin-PoC: Steal My Bitcoin 챌린지의 공개 릴리스 · GitHubhttps://github.com/KillaBoi/StealMyBitcoin-PoC챌린지 사이트에는 작성 시점에서 'Challenge won(챌린지 성공)'이 표시되어 있으며, 서버 내에 비트코인이 남아있지 않다는 안내가 있습니다. 운영자는 향후 새로운 챌린지를 공개할 가능성이 있으며, 이번 기획을 운영한 경험에 대해 별도로 자세히 공개할 예정이라고 밝혔습니다.

[원문 보기](https://gigazine.net/news/20261026-steal-my-bitcoin/) | 출처: Gigazine