연구원이 심각한 PHP 결함을 악용할 수 있음을 입증함에 따라 비트코인 ​​해킹 문제가 마침내 해결되었습니다.

본문

연구원들이 초기 구성을 비판한 후 비트코인 ​​해킹 도전은 성공적인 PHP 공격으로 끝났습니다. 구성이 변경된 지 3시간도 채 되지 않아 서버가 침해당했지만 잘못된 지갑 키로 인해 우승자가 비트코인 ​​상금을 직접 청구할 수 없었습니다. 심각한 소프트웨어 취약점에 대한 의심이 촉발된 후 해커가 비트코인 ​​포상금을 받기 위해 공개 PHP 서버에 침입했습니다. 온라인에서 Killa로 식별된 연구원은 10월 25일 Steal My Bitcoin 챌린지 서버에서 코드를 성공적으로 실행하여 인공 지능이 심각한 보안 결함을 더 쉽게 악용할 수 있게 만들었다는 주장에 주목하는 실험에서 숨겨진 지갑 자격 증명을 추출했습니다. 챌린지 운영자인 James Pavur는 서버 로그가 연구원의 발견을 뒷받침한다고 말하면서 성공적인 공격을 확인했습니다.

이 경쟁은 10월 21일 두 가지 중요한 PHP 취약점인 CVE-2026-109618 및 CVE-2026-109619가 공개된 이후에 이루어졌습니다. 연구원들은 이 취약점을 통해 공격자가 영향을 받는 서버에서 원격으로 코드를 실행할 수 있다고 밝혔습니다. 이후 비트코인 ​​챌린지는 이러한 경고에 대한 공개 테스트가 되었으며 공격에 대한 명백한 저항은 취약점이 얼마나 쉽게 악용될 수 있는지에 대한 회의론을 불러일으켰습니다. Pavur는 처음에 PHP에 내장된 웹 서버를 통해 일반 HTML을 제공하도록 챌린지를 구성하여 공격자가 취약한 기능에 도달하는 능력을 제한했습니다. 그는 과도한 트래픽이 단일 스레드 PHP 서버를 압도하고 성공적인 공격을 매우 어렵게 만들었던 초기에는 이러한 도전이 비현실적이라고 주장했습니다.

그러나 해결되지 않고 잘못 구성된 문제를 취약점이 과대평가되었다는 증거로 사용하면 사람들에게 잘못된 확신을 주고 패치 적용을 지연시킬 수 있습니다.” 이후 Pavur는 구성 문제를 인정하고 10월 25일 13:00 UTC 경에 액세스 가능한 PHP 페이지를 추가했음을 확인했습니다. 연구원은 원래 시도에서 보존된 기록의 차이를 인정했지만 비트코인 개인 키가 포함된 성공적인 서버 응답을 계정에 기록했습니다. 운영자는 지갑 실수에도 불구하고 PHP 문제 해결을 수락했으며, 누가 발견한 내용을 배포된 수정 사항으로 바꾸는 더 어려운 질문이 남아 있습니다.