해커가 PHP 취약점 두 가지를 이용해 2,000달러 상당의 비트코인 탈취

한 해커가 웹 서버의 견고함을 테스트하기 위해 조직된 온라인 챌린지의 일환으로 PHP 언어의 두 가지 심각한 취약점을 악용하여 2,000달러 이상의 비트코인(BTC)을 훔쳤습니다. 19시간 미만으로 수행된 이번 공격은 비트코인 시장의 시가총액이 약 6,000억 달러 수준에서 안정세를 유지하고 있는 가운데, 가상자산 지갑을 호스팅하는 인프라 보안과 관련된 지속적인 위험을 상기시킵니다. 배경 이번 사건은 소프트웨어 결함이 디지털 자산을 관리하는 온라인 서비스에 여전히 주요한 위협이 되고 있는 상황에서 발생했습니다. W3Techs의 추산에 따르면 웹사이트의 약 75%에서 사용되는 프로그래밍 언어인 PHP는 PHP2Shell이라 불리는 두 가지 심각한 취약점을 수정하기 위해 2026년 10월 21일에 업데이트되었습니다. CVSS 심각도 척도에서 10점 만점에 9.2점으로 평가된 이 취약점들은 원격 코드 실행(RCE)과 서버 파일에 대한 무단 접근을 가능하게 합니다. 해커 뉴스(Hacker News) 포럼에서 cloudlandsdev 라는 가명으로 활동하는 한 네티즌이 시작한 "Steal My Bitcoin" 챌린지는 이러한 취약점들의 실제 위험성을 평가하는 것을 목표로 했습니다. 주최자는 비트코인 개인 키가 저장된 서버에 의도적으로 패치되지 않은 PHP 버전(8.4.26)을 설치했으며, 초기 보상금 500달러에 외부 기부금이 더해져 총 2,000달러 이상의 보상금이 걸려 있었습니다. 이러한 종류의 이니셔티브는 논란이 있기도 하지만, 기존 보호 조치의 한계를 테스트하기 위해 사이버 보안 커뮤니티에서 흔히 이루어집니다. 공격 당시, 2026년 10월 26일 CryptoScore Pro 데이터에 따르면 비트코인은 약 80,269달러에 거래되었으며 시가총액은 1.61조 달러였습니다. 가격의 안정성에도 불구하고, 이번 사건은 2024년 유럽의 MiCA 규정이 시행된 이후 해킹 위험에 대해 규제 기관과 투자자들의 경각심이 높아진 환경에서 발생했습니다. 사건 경위 이번 공격은 KillaBoi 라는 가명으로 알려진 해커에 의해 수행되었으며, 그는 2026년 10월 25일 15시 47분(UTC)에 0.02511679 BTC(당일 환율 기준 약 2,021달러)를 탈취하는 데 성공했습니다. Cryptoast가 발표한 정보에 따르면, 이번 도난 사건은 PHP2Shell 취약점(CVE-2026-109618 및 CVE-2026-109619로 참조됨)을 악용하여 대상 서버의 원격 제어 권한을 획득함으로써 이루어졌습니다. 이번 작전의 핵심 요소는 다음과 같습니다: 취약점 발견부터 자금 출금 트랜잭션까지 서버 침해에 소요된 총 시간은 19시간이었습니다. 대상 서버에는 웹 인터페이스를 통해 접근 가능한 Bitcoin 지갑이 호스팅되어 있었으며, 개인 키가 평문으로 저장되어 있거나 보안되지 않은 설정 파일에 보관되어 있었습니다. Cryptoast의 데이터에 따르면, 사고 당시 Bitcoin 네트워크의 평균 수수료율은 0.135 sat/vB로, 자금 이체에 드는 트랜잭션 비용은 무시할 수 있는 수준이었습니다. 당초 발표된 내용과 달리, KillaBoi 가 회수한 개인 키는 보상과 연결된 Bitcoin 주소와 일치하지 않았습니다. 챌린지 주최자는 실제로 서버에 자신의 지갑의 다른 브랜치 키를 배치했으며, 공격이 검증된 후 직접 해커에게 자금을 전송했습니다. KillaBoi 는 GitHub에 자신의 익스플로잇 코드를 공개하며 다음과 같은 2단계 방법을 상세히 설명했습니다: 첫 번째 단계로 서버 메모리를 고갈시킨 후, 잔류 데이터를 활용해 내부 주소를 식별하는 단계입니다. 가짜 데이터 구조를 구축하여 메모리 위치를 예측 불가능하게 만드는 보호 조치인 ASLR( Address Space Layout Randomization )을 우회하는 단계입니다. 그의 테스트에 따르면, 통제된 환경에서 공격 성공률은 10번 중 7번이었으나, KillaBoi 는 자신의 익스플로잇이 해당 챌린지의 설정에 특화된 것이며 다른 PHP 설치 환경에서의 효율성은 보장할 수 없다고 명시했습니다. 또한, 여러 참가자들은 챌린지 기간의 상당 부분 동안 서버 설정이 잘못되어 취약점 공략이 지연되었다고 지적했습니다. 이러한 개별 사례를 넘어 더 광범위한 우려가 제기되고 있습니다. 사이버 보안 회사 CYFIRMA는 The Hacker News 가 인용한 보고서에 따르면, 정부, 은행 및 산업 부문을 포함하여 PHP2Shell에 취약할 가능성이 있는 216개의 서버를 대상으로 한 정찰 캠페인을 확인했습니다. 21대의 감염된 머신에서 수행된 이 작업은 Lazarus 그룹과 연계된 북한 해커들의 소행으로 추정되지만, 이러한 귀속 여부는 여전히 불확실합니다. 또한, Palo Alto Networks는 유럽의 한 행정 기관에 대한 공격을 보고했으나, PHP2Shell 취약점의 사용 여부는 확인하지 못했습니다. 핵심 개념 이해하기 원격 코드 실행 (RCE) 원격 코드 실행( Remote Code Execution 또는 RCE)은 공격자가 원격 서버나 시스템에 물리적으로 접근하지 않고도 임의의 명령을 실행할 수 있게 하는 취약점입니다. 이번 사례의 경우, PHP2Shell 취약점을 통해 KillaBoi 가 HTTP 요청을 통해 악성 코드를 주입하여 서버의 제어권을 획득할 수 있었습니다. 예를 들어, 공격자는 RCE를 악용하여 암호화폐 지갑의 개인 키와 같은 민감한 파일에 접근하거나 악성 소프트웨어를 설치할 수 있습니다. 개인 키 및 트랜잭션 서명 개인 키는 비트코인 주소의 소유권을 증명하고 트랜잭션을 승인하는 데 사용되는 비밀 문자열입니다. 이번 사건에서 해커는 서버에 저장된 개인 키를 탈취하여 자금을 자신의 지갑으로 전송하는 트랜잭션에 서명했습니다. 이 키를 통해 생성된 디지털 서명은 블록체인 상에서 트랜잭션을 검증하는 역할을 합니다. 개인 키가 유출되면 해당 키를 가진 누구나 관련 자금에 접근할 수 있으므로, 이를 안전하게 저장하는 것(예: 하드웨어 월렛 또는 디지털 금고 사용)이 매우 중요합니다. ASLR ( Address Space Layout Randomization ) ASLR은 메모리 내 데이터 위치를 무작위로 배치하여 소프트웨어 취약점을 이용한 공격을 어렵게 만드는 컴퓨터 보안 기술입니다. PHP2Shell의 경우, KillaBoi 는 PHP 프로세스가 남긴 잔류 데이터를 활용해 악성 데이터 구조를 재구성함으로써 이 보호 조치를 우회했습니다. 이러한 우회 방식은 보호 조치와 공격 방법 사이의 끊임없는 경쟁을 보여주며, 해커들이 개발자가 설정한 장벽을 극복하기 위해 기술을 어떻게 적응시키는지를 잘 나타냅니다. CVSS 점수 ( Common Vulnerability Scoring System ) CVSS 점수는 컴퓨터 취약점의 심각도를 0에서 10까지 표준화하여 측정한 수치입니다. PHP2Shell 취약점(CVE-2026-109618 및 CVE-2026-109619)은 9.2점을 기록하여 "심각(critical)" 단계로 분류됩니다. 이 점수는 잠재적 영향(무단 액세스, 코드 실행)과 공격 용이성 등 여러 기준을 고려합니다. 높은 점수는 긴급한 수정이 필요한 취약점임을 의미하며, 이는 2026년 10월 21일에 출시된 PHP 수정 버전(8.2.35, 8.3.36, 8.4.27 및 8.5.12)을 통해 강조되었습니다. 분석: 주요 쟁점 이번 사건은 단순한 2,000달러의 도난을 넘어 크립토 인프라가 직면한 취약성 메커니즘을 보여줍니다. 경제적 관점에서 PHP 취약점의 악용은 공격의 실행 속도와 패치 적용 속도 사이의 구조적 불균형을 드러냅니다. 챌린지 서버와 같이 잘못 설정된 서버는 원격 코드 실행(RCE) 인젝션에 노출되어 주요 표적이 됩니다. RCE는 공격자에게 한계 비용이 거의 제로에 가까운 공격 벡터이며, 이번 사례의 경우 블록체인 데이터에 따르면 19시간의 작업 시간과 0.14 sat/vB 미만의 트랜잭션 수수료가 소요되었습니다. 투자자들에게 즉각적인 영향은 제한적입니다. 이번 도난 금액은 비트코인 시가총액(2026년 10월 26일 CryptoScore Pro 기준 1조 6,100억 달러)의 0.000003% 미만입니다. 하지만 보안이 면밀히 검토되고 있는 웹 커스토디 서비스의 평판에 영향을 줄 수 있습니다. 하드웨어 월렛 제공업체나 규제 대상 거래소와 같은 업계 관계자들은 신뢰 회복의 기회를 얻을 수 있는 반면, 웹 호스팅 업체들은 유사한 손실을 방지하기 위해 보안 감사 비용을 내부화해야 할 것입니다. 세 가지 시나리오가 예상됩니다. 모범 사례(PHP 업데이트, 키 암호화)의 가속화된 도입, 노출된 서비스에 대한 보험료 인상, 또는 명확한 경제적 제재가 없을 경우 취약점의 지속입니다. 리스크 및 불확실성 몇 가지 불분명한 점들이 남아 있습니다. 우선, PHP2Shell 취약점에 노출된 서버의 실제 범위는 여전히 불확실합니다. CYFIRMA는 216개의 잠재적 타겟을 언급했지만, 공격의 주체가 북한 해커(Lazarus 그룹)라는 점은 확인되지 않았습니다. 다음으로, KillaBoi의 시연은 특정 설정에 기반하고 있어 익스플로잇의 일반화에는 한계가 있습니다. 다만 CVE-2026-109618 및 CVE-2026-109619의 심각도 점수(9.2/10)는 시스템적 리스크를 강조합니다. 마지막으로, Cryptoast의 데이터로는 침해된 서버에서 다른 개인 키가 노출되었는지, 또는 챌린지 범위 외에 추가 자금이 유출되었는지 확인할 수 없습니다. 또한, 프랑스 Freebox 노출에 대한 초기 오류는 취약점 탐지 방법론의 한계를 상기시킵니다. 따라서 관리자들은 보안 경고를 신중하게 해석해야 하며, 특히 PHP 패치(버전 8.2.35에서 8.5.12)가 모든 설정을 반드시 커버하는 것은 아니라는 점에 유의해야 합니다. 시장 전망 및 규제 기술적 관점에서 비트코인은 이번 사건에도 불구하고 상대적인 안정성을 보이고 있습니다. 24시간 기준 0.21%, 7일 기준 3% 하락했으며(CryptoScore Pro, 2026년 10월 26일), 시장은 전반적으로 중립적인 상태(Fear & Greed 지수 50/100)입니다. 이러한 회복력은 2021년 Poly Network 해킹 사건 당시 손실액이 6억 달러를 넘어섰던 과거의 주요 해킹 반응과 대조적입니다. 유럽의 규제 프레임워크(MiCA)가 완화 역할을 할 수 있습니다. 암호화폐 서비스 제공업체에 보안 감사를 의무화함으로써 이론적으로 소프트웨어 결함에 대한 노출 위험을 줄이기 때문입니다. 미국 SEC는 아직 이번 사건에 반응하지 않았으나, 2020년 SolarWinds 사건과 같은 전례를 볼 때 규제 당국이 핵심 인프라의 취약점에 대한 투명성 보고서를 요구할 가능성이 있습니다. 7일간의 하락폭(-4.3%)이 더 두드러진 이더리움과 비교했을 때, 비트코인은 운영 리스크에 덜 민감한 가치 저장 수단으로서의 지위 덕분에 이점을 얻고 있는 것으로 보입니다. 하지만 이번 사건은 탈중앙화된 자산이라 할지라도 애플리케이션 계층(PHP 등)의 보안이 여전히 취약한 고리임을 상기시킵니다. 핵심 요약 PHP2Shell 취약점 악용을 통해 19시간 만에 2,000달러 상당의 비트코인이 도난당했으며, 이는 설정이 잘못된 서버를 겨냥한 공격의 신속성을 보여줍니다. 취약점(CVE-2026-109618 및 CVE-2026-109619)은 높은 심각도 점수(9.2/10)를 기록하고 있으나, 실제 영향은 서버의 구체적인 설정에 따라 다릅니다. 2026년 10월 26일 CryptoScore Pro 데이터에 따르면, 비트코인 시장은 사건 이후 시가총액 1조 6,100억 달러를 유지하며 안정적인 모습을 보였습니다. 특히 노출된 웹 서비스의 경우 시스템적 리스크가 지속되고 있으며, 규제 기관(MiCA, SEC)이 사이버 보안 요구 사항을 강화할 수 있습니다. CYFIRMA가 보고한 정찰 캠페인에도 불구하고, 이번 공격을 국가 지원 해커 그룹(Lazarus 그룹 등)의 소행으로 단정 짓는 것은 아직 확인되지 않았습니다. 향후 노출을 제한하기 위해 PHP 패치(버전 8.2.35에서 8.5.12)를 즉시 적용해야 합니다.