PHP 취약점, 비트코인 챌린지 서버 해킹으로 현실화…AI 역할은 미지수

AI 기술의 발전과 함께 보안 취약점의 악용 가능성에 대한 우려가 커지는 가운데, 최근 발생한 'Steal My Bitcoin' 챌린지 서버 해킹 사건은 이러한 경고를 현실로 만들었습니다. 이 사건은 특히 PHP 설정 변경 직후 발생했으며, 약 3시간 만에 해커가 비트코인 현상금을 획득하는 방식으로 마무리되었습니다. 이 결과는 서버의 초기 불완전한 설정으로 인해 제기되었던 회의론을 불식시키고, 패치가 적용되지 않은 PHP 취약점의 위험성에 대한 경각심을 다시 한번 일깨웠습니다.

사건의 발단은 지난 10월 21일 발표된 두 개의 치명적인 PHP 취약점, CVE-2026-109618 및 CVE-2026-109619였습니다. 이 취약점들은 공격자가 영향을 받는 서버에 원격으로 코드를 실행할 수 있도록 허용할 수 있다는 점에서 암호화폐 보안 전문가들의 긴급한 경고를 불러일으켰고, 즉각적인 소프트웨어 업데이트를 촉구했습니다. 'Steal My Bitcoin' 챌린지는 바로 이러한 경고의 실제적인 시험대가 되었습니다. 처음에는 공격에 대한 apparent resistance(겉으로 드러난 저항)가 취약점의 악용 용이성에 대한 회의론을 부채질하는 듯했습니다.

챌린지 운영자인 제임스 파부르(James Pavur)는 이 해킹 사건을 확인했으며, 서버 로그가 해커의 주장을 뒷받침한다고 밝혔습니다. 하지만 이 성공적인 익스플로잇은 챌린지의 초기 설정 문제로 인해 보안 전문가들이 이것이 근본적인 취약점을 의미 있게 테스트했는지 의문을 제기하게 만든 후에야 이루어졌다는 점에서 복잡한 양상을 띱니다.

파부르는 처음에는 챌린지를 PHP의 내장 웹 서버를 통해 일반적인 HTML을 제공하도록 구성했습니다. 이는 공격자가 취약한 기능에 접근하는 것을 제한하는 방식이었습니다. 이러한 설정은 사이버 보안 연구원들로부터 비판을 받았는데, 그들은 초기 생존이 취약점의 악용 가능성에 대한 거의 증거를 제공하지 못했다고 주장했습니다. 해커이자 Hacktron의 공동 창립자인 모한 “s1r1us” 페다파티(Mohan “s1r1us” Pedhapati)는 이 대회가 주변 논의가 기업들이 보안 위협을 과소평가하도록 부추길 위험이 있다고 경고했습니다.

페다파티는 “이것은 매우 위험한 서사입니다. 그것이 얻는 참여도를 보십시오.”라고 말했습니다. 그는 챌린지가 초기 몇 시간 동안 비현실적이었다고 주장했는데, 당시 과도한 트래픽이 단일 스레드 PHP 서버를 압도하여 성공적인 익스플로잇을 비정상적으로 어렵게 만들었습니다. 또한 페다파티는 이러한 문제들이 최첨단 AI 모델을 가진 공격자들이 더 유리한 조건에서 동일한 취약점을 악용하는 데 어려움을 겪을 것이라고 증명하지는 못한다고 강조했습니다. 그는 “사람들에게 패치를 하지 말라고 명시적으로 말하고 있다고 생각하지는 않습니다. 하지만 해결되지 않고 잘못 구성된 챌린지를 사용하여 취약점이 과대평가되었다는 증거로 삼으면 사람들에게 잘못된 자신감을 주고 패치를 지연시키게 만들 수 있습니다.”라고 덧붙였습니다.

이후 파부르는 초기 구성의 문제점을 인정하고 수정을 가했습니다. 그러나 이러한 수정이 이루어진 지 불과 3시간 만에 해커, 온라인에서 'Killa'로 알려진 연구원, Steal My Bitcoin 챌린지 서버에 성공적으로 코드를 실행하여 숨겨진 지갑 자격 증명을 추출했습니다. 이 실험은 인공지능이 심각한 보안 결함을 악용하기 쉽게 만들고 있다는 주장들에 주목하게 만들었습니다. 하지만 이 공격에서 AI의 정확한 역할은 아직 명확히 밝혀지지 않았습니다. 운영자가 잘못된 비트코인 개인 키를 저장하고 있었던 것으로 밝혀졌으며, 이는 해킹의 또 다른 요인으로 작용했을 가능성이 있습니다.

이번 사건은 소프트웨어 개발 및 배포에 있어 보안 업데이트의 중요성을 다시 한번 강조합니다. 특히 널리 사용되는 PHP와 같은 언어의 취약점은 광범위한 시스템에 영향을 미칠 수 있으며, 이를 신속하게 패치하지 않으면 심각한 금전적 손실과 데이터 유출로 이어질 수 있습니다. 또한, AI가 사이버 공격의 효율성과 복잡성을 증대시킬 수 있다는 가능성은 보안 전문가들에게 새로운 과제를 안겨주고 있습니다. 앞으로 AI의 역할이 공격에 어떻게 활용될지, 그리고 이에 대한 방어 체계는 어떻게 발전할지에 대한 지속적인 연구와 대응이 필요할 것으로 보입니다.

비트코인 커뮤니티 역시 이번 사건을 예의주시하고 있습니다. 암호화폐는 높은 가치를 지니고 있어 해킹의 표적이 되기 쉬우며, 이번 사건은 비트코인 보유자들이 사용하는 지갑 및 거래 플랫폼의 보안성을 재점검할 필요성을 시사합니다. 챌린지 운영자가 잘못된 개인 키를 저장했다는 사실은 단순한 기술적 오류가 아니라, 암호화폐 자산을 관리하는 데 있어 기본적인 보안 절차의 중요성을 역설적으로 보여주는 사례입니다.

결론적으로, 'Steal My Bitcoin' 챌린지 서버 해킹 사건은 PHP 취약점의 실제적인 위험성을 입증했을 뿐만 아니라, AI 기술의 발전이 보안 환경에 미치는 영향에 대한 논의를 촉발했습니다. 앞으로 이러한 취약점들이 어떻게 악용될 수 있는지, 그리고 AI가 이 과정에서 어떤 역할을 수행할지에 대한 면밀한 분석과 대비가 요구됩니다.