비트코인 해킹 챌린지 사이트 공개
원제: Show HN: Steal My Bitcoin
왜 중요한가
실제 금전적 보상을 건 PHP 취약점 챌린지는 보안 연구자들의 실전 역량 검증 수단이자, PHP 레거시 환경의 위험성을 보여주는 사례다.
stealmybitcoin.com이 서버에 약 $500(약 67만 원) 상당의 비트코인 지갑을 숨겨두고, 누구든 PHP 취약점을 이용해 탈취하면 가져갈 수 있는 해킹 챌린지를 공개했다. PHP 사용자 계정으로 접근 가능한 print-flag 바이너리를 통해 키에 접근할 수 있으며, 먼저 탈취한 사람이 전액 획득한다.
stealmybitcoin.com은 취약한 PHP 서버 환경을 의도적으로 노출해 보안 연구자와 해커를 초대하는 CTF(Capture The Flag) 스타일의 챌린지를 운영 중이다. 서버에는 약 $500 상당의 비트코인 개인 키가 숨겨져 있으며, PHP 사용자 계정 권한으로 실행 가능한 print-flag 바이너리를 통해 접근할 수 있다고 명시돼 있다.
주목할 점은 이 서버에 사용된 PHP 버전이 PHP2SHELL CVE 패치 이전 버전이라는 것이다. 운영자는 이를 명시적으로 공개함으로써 어떤 취약점 계열을 노려야 하는지 힌트를 제공하고 있다.
챌린지 지갑 주소(bc1qlnu5…t3cxqy)는 블록체인 익스플로러를 통해 실시간으로 잔액 확인이 가능하다. 먼저 탈취에 성공한 사람이 전액을 가져가며, 운영자는 수령 후 기부가 필요 없다면 GiveWell.org에 기부할 것을 권장하고 있다.
다만 운영자는 이 서버가 '알려진 취약 머신'임을 명시하며, 모든 트래픽이 기록되고 다른 공격자들이 활동을 모니터링하거나 데이터에 접근할 수 있다고 경고한다. 개인 정보나 민감한 데이터를 입력하지 말 것을 권고하고 있다.