비트코인 개인키까지 뚫렸다…PHP 서버 해킹 실험 3시간 만에 성공

본문

웹 개발에 널리 사용되는 프로그래밍 언어 PHP의 치명적인 보안 취약점이 실제 서버 침입으로 이어질 수 있다는 사실이 확인됐다. [블록미디어 명정선 기자] 웹 개발에 널리 사용되는 프로그래밍 언어 PHP의 치명적인 보안 취약점이 실제 서버 침입으로 이어질 수 있다는 사실이 확인됐다. 비트코인 을 보상으로 내건 공개 해킹 실험에서 보안 연구자가 서버에 침입해 저장된 비트코인 지갑의 개인키까지 추출하는 데 성공했다. 26일(현지시각) 크립토슬레이트에 따르면 온라인에서 ‘킬라(Killa)’라는 이름으로 활동하는 보안 연구자는 지난 25일 ‘스틸 마이 비트코인(Steal My Bitcoin)’이라는 공개 해킹 실험에서 PHP 서버에 침입해 비트코인 지갑의 개인키를 추출했다. 이번 실험은 지난 21일 공개된 PHP의 치명적인 보안 취약점 2건(CVE-2026-109618·CVE-2026-109619)이 실제 공격에 악용될 수 있는지 확인하기 위해 마련됐다.

실험 초기에는 공격 성공 사례가 나오지 않으면서 PHP 취약점의 위험성이 과장됐다는 주장도 제기됐다. 그러나 보안 전문가들은 서버 설정 자체가 취약점을 검증하기에 적절하지 않다고 지적했다. 실험 운영자인 제임스 파버(James Pavur)는 당초 PHP 내장 웹서버를 통해 일반 HTML 페이지를 제공했다. 파버는 문제를 인정하고 25일 오후 1시(UTC)께 접근 가능한 PHP 페이지를 추가했다. 특히 이번 공격은 단순히 서버에 접근하는 데 그치지 않고 내부에 저장된 비트코인 개인키를 추출했다는 점에서 주목된다. 운영자는 해킹 성공을 인정하고 약 2000달러 상당의 비트코인을 우승자에게 별도로 지급한 것으로 전해졌다. 특히 디지털자산 거래소 와 지갑 서비스처럼 개인키와 인증정보를 관리하는 사업자는 취약한 소프트웨어 사용 여부와 서버 보안 설정을 점검할 필요가 있다는 지적이 나온다.