‘PHP2Shell’로 불리는 두 건의 심각한 취약점이 암호화폐 업계의 보안 이슈로 부상했다. PHP 개발자들은 10월 21일 긴급 패치를 배포했으며, 취약점의 심각도는 10점 만점에 9.2점으로 평가됐다. 공격자는 비밀번호 없이도 취약한 서버에 접근해 민감한 정보를 탈취하거나 웹사이트를 추가로 장악할 수 있다.
문제의 영향 범위는 암호화폐 업계에만 국한되지 않는다. Cloudflare는 공격자들이 이미 고객사를 대상으로 관련 취약점 악용을 시도했다고 확인했으며, 일부 유럽 정부 웹사이트는 예방 차원에서 일시적으로 운영을 중단하기도 했다. 계정 로그인, 결제 요청, 관리자 기능을 PHP로 처리하는 암호화폐 서비스의 경우 패치 적용 속도가 서버가 노출되는 시간을 좌우할 수 있다.
PHP 메모리 처리 방식이 공격 경로로 지목
PHP는 다수의 웹사이트에서 서버 측 요청을 처리하는 데 사용되는 소프트웨어다. 사용자가 계정에 로그인하거나 결제를 제출하고 웹사이트 기능을 호출할 때 PHP가 관련 데이터 처리에 관여하는 경우가 많다. 연구진은 공격자가 PHP의 컴퓨터 메모리 처리 방식을 조작해 원래 보호돼야 하는 정보에 접근할 수 있다는 점을 확인했다.
Wiz Research는 취약점 악용에 성공할 경우 공격자가 비밀번호, 인증 토큰, API 키를 확보할 수 있다고 설명했다. 이러한 디지털 인증 정보는 웹사이트 계정과 연결될 뿐 아니라 연동된 외부 서비스에 접근하는 데 사용될 수도 있다. 디지털 자산을 관리하거나 암호화폐 결제를 처리하는 웹사이트에서는 인증 정보 유출이 다른 시스템으로 확산되는 경로가 될 수 있다.
암호화폐 결제 게이트웨이와 소형 거래소 우선 점검
현재 노출 가능성이 상대적으로 높다고 거론되는 서비스는 크게 세 부류다. 첫째는 암호화폐 결제 게이트웨이다. PHP 기반 결제 연동, 특히 WooCommerce와 연결된 결제 기능을 사용하는 가맹점은 서버를 아직 업데이트하지 않았다면 보안 위험에 노출될 수 있다. Binance Pay, Crypto.com Pay, BitPay, CoinGate, CoinPayments는 WooCommerce 연동을 제공하는 것으로 공개돼 있지만, 이러한 연동 기록만으로 해당 기업의 인프라에 실제 취약점이 존재한다고 판단할 수는 없다.
둘째는 규모가 작은 암호화폐 거래 플랫폼이다. 거래소의 계정 포털이나 결제 시스템이 취약한 PHP 환경에서 운영된다면 서버 침해 과정에서 고객 정보와 민감한 인증 정보가 노출될 수 있다. 규모가 큰 플랫폼은 상대적으로 체계적인 시스템 분리와 패치 절차를 갖춘 경우가 많지만, 소형 사업자는 웹사이트와 관리자 페이지, 서드파티 플러그인이 여전히 영향을 받는 버전을 사용하고 있는지 우선 확인할 필요가 있다.
셋째는 디파이(DeFi)와 암호화폐 지갑 웹사이트다. 웹사이트 화면이 변조되면 공격자가 사용자를 가짜 지갑 주소로 유도하거나 악성 거래를 승인하도록 유도할 수 있다. 다만 현재까지 PHP2Shell로 인해 위에 언급된 결제 서비스 제공업체나 주요 거래 플랫폼이 침해됐다는 검증된 증거는 확인되지 않았다.
블록체인 네트워크와 오프라인 개인키는 직접 대상 아냐
웹사이트 계층의 위험과 블록체인 기반 자산의 보안은 구분해야 한다. PHP2Shell은 PHP를 실행하는 웹사이트 서버를 직접 겨냥하는 취약점으로, 블록체인 네트워크나 스마트 계약 자체, 오프라인 하드웨어 지갑에 안전하게 보관된 개인키에 직접 영향을 주는 것은 아니다.
암호화폐 결제 제품에 PHP 또는 WooCommerce 연동이 포함돼 있다는 사실만으로 해당 기업의 핵심 거래 시스템이 공격받았다고 볼 수도 없다. 실제 위험 수준은 서버가 영향을 받는 버전을 실행하는지, 패치가 적용됐는지, 계정 시스템과 결제 인터페이스 및 관리자 기능 사이에 충분한 분리가 이뤄졌는지에 따라 달라진다.
대형 거래 플랫폼이 신속하게 패치를 적용했거나 핵심 인프라를 취약할 수 있는 웹서비스와 분리했다면 직접적인 노출 가능성은 상대적으로 낮을 수 있다. Kraken은 핵심 백엔드의 PHP에서 Rust로의 이전을 2025년에 완료했다고 밝힌 바 있다. 따라서 해당 거래소의 핵심 백엔드와 PHP2Shell의 직접적인 연관성은 단순히 웹사이트의 기술 스택만으로 판단할 수 없으며, 실제 배포 환경을 확인해야 한다.
거래소 서버 패치는 이용자가 직접 할 수 없어
PHP 보안 패치는 웹사이트 운영자, 결제 서비스 제공업체 또는 호스팅 인프라 사업자가 수행해야 한다. 일반 이용자는 거래소 서버에 직접 패치를 설치할 수 없다. 이용자가 할 수 있는 조치는 플랫폼이 보안 업데이트 공지를 내놓는지 확인하고, 비정상 로그인 알림이나 비밀번호 재설정 안내, 지갑 주소 변경 알림을 주의 깊게 살피는 것이다. 의심스러운 웹페이지에 거래소 비밀번호나 API 키를 입력하거나 출처가 불분명한 거래 승인을 진행하는 것도 피해야 한다.
현재 확인된 사실은 PHP 개발자들이 두 취약점에 대한 긴급 수정본을 배포했다는 점, Cloudflare 고객을 대상으로 한 악용 시도가 있었다는 점, 일부 유럽 정부 웹사이트가 일시적으로 운영을 중단했다는 점이다. 개별 암호화폐 거래소와 결제 게이트웨이, 지갑 웹사이트의 실제 영향 여부는 서버 버전과 패치 적용 상태, 네트워크 분리 조치에 따라 달라진다. PHP 연동을 사용한다는 사실만으로 피해 발생 여부를 단정할 수는 없다.