← 종합 인덱스 | 암호화폐 채굴기 이미지 3종 — 역분석

암호화폐 채굴기 이미지 3종 — 역분석

대상 이미지(모두 삭제됨, 공개 레지스트리 재pull 가능):

alphaminetech/pearl-miner:latest — digest sha256:72d8f940a19d8e2ecc711b4377451884dbfd89f87c2dc4df56ce0ed173596387, 1.47GB(비압축 ~3.8GB), 2026-06-06 빌드

alphaminetech/pearl-miner/ssh:latest — digest sha256:45a3ef4bab715a4b0e1963615ed3a83159e01340bdfbda81223d5070e4f59abf, 1.6GB(비압축 ~4.2GB), 2026-06-12 빌드

smit1237/xengpuminer:vast — digest sha256:041ac8d700bcdbe862a99917f4c2c1d509ba24e01002154c3421d04d15e3e6bb, 4GB(비압축 ~12GB), 2023-11-15 빌드

근거: 이미지 빌드 히스토리(rtx3-docker-leftover-detail.txt 462~~542 / 821~~893 / 1383~1462행)만으로 역분석. 소스 본문은 확보 안 함(채굴 데몬은 외부 다운로드 또는 공개 git). 따라서 "베이스·엔트리포인트·풀 설정·실행방식"은 확실, 채굴 알고리즘/수익 구조 세부는 추정으로 구분 표기.

한 줄 요약

세 이미지 모두 과거 Vast.ai 임차인이 임차한 GPU로 암호화폐를 채굴하던 채굴기 컨테이너다. NVIDIA CUDA(devel) 베이스 위에 채굴 데몬 하나만 올려 GPU를 100% 점유시키는 단순 구조. 고객 자산이 아니고 재현/학습 가치도 낮다 — "이 서버에 무엇이 남아 있었는지"를 기록으로 남기는 것이 이 문서의 유일한 목적이다. (보고서에서 확인된 과거 공인 IP 58.237.xx.xx(마스킹됨) = 임차인 흔적과 함께, 이 호스트가 Vast.ai GPU 임대용이었다는 증거.)

① Pearl Miner — `alphaminetech/pearl-miner` (2 태그)

정체

Alpha/Pearl 풀(alphapool.tech) 대상 GPU 채굴기. 빌드 히스토리·ENV가 그대로 명세다.

ENV(확실):

PEARL_POOL_HOST=us2.alphapool.tech      # 채굴 풀 호스트(US 리전 2번)
PEARL_POOL_PORT=5566                     # 풀 접속 포트
PEARL_WORKER=docker-rig                  # 워커(리그) 이름
PEARL_STATUS_INTERVAL=60                 # 상태 보고 주기(초)

빌드 단계(확실):

ARG MINER_URL=https://pearl.alphapool.tech/downloads/alpha-miner-177
RUN curl -fsSL -o /usr/local/bin/alpha-miner "${MINER_URL}" && chmod +x → 채굴 바이너리(28.7MB)를 풀 사이트에서 직접 받아 설치(alpha-miner-177 = 버전 177 추정).
COPY entrypoint.sh /usr/local/bin/entrypoint.sh + chmod +x(8.19kB 스크립트) → 기동 시 ENV의 풀/워커 설정을 읽어 alpha-miner를 풀에 접속시키는 래퍼(추정).
베이스: nvidia/cuda 12.4.1(ubuntu 22.04), ca-certificates curl만 추가 설치. 즉 CUDA 런타임 + 채굴 바이너리 1개가 전부.

두 태그의 차이 (확실)

태그	ENTRYPOINT	성격
`pearl-miner:latest` (2026-06-06)	`["/usr/local/bin/entrypoint.sh"]`	베이스 채굴 이미지. 부팅 즉시 채굴 시작.
`pearl-miner/ssh:latest` (2026-06-12)	`["/bin/sh","-c","while [ ! -e /.launch ]; do sleep 1; done; bash /.launch"]`	base 위에 Vast.ai SSH/tmux 래퍼를 덧씌운 변형. openssh-server·tmux·rsync 설치, `sshd_config` 수정(StrictModes no, ClientAlive…), `VAST_CONTAINERLABEL` 처리 후 `/.launch` 대기 → Vast 인스턴스로 띄워 SSH 접속·관리하며 채굴하기 위한 형태.

→ 같은 채굴기를, 하나는 순수 컨테이너로, 하나는 Vast 임대 인스턴스 운영 형태(SSH 진입 가능)로 만든 동일 채굴기의 두 배포 변형.

② XENGPUMiner — `smit1237/xengpuminer:vast`

정체

XEN 계열 코인(XenBlocks / XNM 등) GPU 채굴기(추정 — 저장소 이름 XENGPUMiner 근거). 공개 GitHub 소스를 이미지 빌드 시 클론해 컴파일.

빌드 단계(확실):

단일 RUN에서 한 번에 구성:

apt-get install -y nano openssh-server ocl-icd-opencl-dev python3 python3-pip \
    cmake build-essential git screen dh-autoreconf apt-utils
sed -i 's/#PermitRootLogin prohibit-password/PermitRootLogin yes/' /etc/ssh/sshd_config
git clone https://github.com/smit1237/XENGPUMiner
mkdir -p /run/sshd && cd XENGPUMiner && chm…(빌드)

→ OpenCL 개발 라이브러리(ocl-icd-opencl-dev) 설치 = GPU 채굴이 CUDA뿐 아니라 OpenCL 커널 기반일 수 있음(추정). cmake/build-essential/dh-autoreconf로 소스 컴파일.

RUN useradd -ms /bin/bash miner -p "$(openssl passwd -1 miner)" → 사용자 miner, 패스워드 miner(약한 자격증명) + root 로그인 허용. SSH 노출 채굴기의 전형.
ENV SM=sm_60 → GPU 컴퓨트 capability sm_60(Pascal) 타깃 빌드.
EXPOSE 22 8000 8080 → SSH(22) + 모니터링/대시보드 포트(8000·8080 추정).
ENTRYPOINT ["/entrypoint.sh"](COPY된 4.1kB 스크립트) — 채굴 기동 래퍼.
베이스: nvidia/cuda 12.0.1 devel(ubuntu 20.04). devel 베이스(대용량)라 12GB로 가장 큼.

비고

2023-11-15 빌드로 셋 중 가장 오래됨 — 과거 임차인이 남긴 구형 자산.
Vast SSH 래퍼(/.launch 패턴)는 없고 자체 /entrypoint.sh + SSH 직접 노출 구조.

③ 공통 특징 (세 이미지 모두)

구조가 동일하게 단순: NVIDIA CUDA 베이스 + 채굴 데몬 1개. 추론 서비스(server.py/HTTP)나 커스텀 오케스트레이션 같은 학습 가치 있는 코드가 없다.
목적은 GPU 100% 점유 = 임차 GPU로 코인을 캐서 풀에 제출하고 보상을 받는 것.
pearl/ssh·xengpuminer 모두 SSH 노출 + 약한/허용적 인증(root 로그인 허용, miner:miner) — 임대 인스턴스에 원격 접속해 채굴을 관리하기 위한 패턴.
Vast.ai 임차 GPU 남용 정황: pearl-miner의 PEARL_WORKER=docker-rig, ssh 변형의 Vast 래퍼, 호스트에서 발견된 과거 IP 58.237.xx.xx(마스킹됨)이 모두 "제3자가 이 GPU를 빌려 채굴에 썼다"는 그림으로 일치.

보안 / 운영 메모

이 이미지들이 호스트(.54)에 남아 있던 것은 과거 임대 이력의 흔적일 뿐이다. 컨테이너 없이 이미지로만 존재했고(자동 실행되지 않음) 2026-06-24 1차 정리에서 삭제됨 → 현재 클러스터에 채굴이 돌고 있다는 의미가 아님.
k8s와 무관(별도 containerd 저장소). 삭제는 클러스터 무영향.
재발 방지(권장): 외부에서 인수/임대받은 신규 GPU 노드를 온보딩할 때, 잔여 도커 이미지/컨테이너/볼륨을 점검하고(특히 알 수 없는 ENTRYPOINT·SSH 노출·채굴 풀 ENV) 격리 dockerd로 조사 후 정리.

확실 vs 추정

확실: 세 이미지의 베이스·크기·생성일·ENTRYPOINT, pearl-miner의 풀 호스트/포트/워커 ENV와 채굴 바이너리 다운로드 URL, ssh 변형의 Vast SSH 래퍼, xengpuminer의 git clone·OpenCL·miner:miner 계정·노출 포트.
추정: 각 채굴기의 정확한 대상 코인·해시 알고리즘·수익 구조, entrypoint 스크립트 내부 로직, xengpuminer의 8000/8080 포트 용도(대시보드/모니터링).

복구/보존 단서

세 이미지 모두 공개 레지스트리(DockerHub alphaminetech/smit1237) 소속이라 필요 시 docker pull로 재취득 가능 — 단, 보존 가치 없음(채굴기). 1차 정리에서 "공개=재pull 가능"으로 삭제한 판단이 적절했던 항목들이다. (대조: 말 키포인트 워커는 같은 "공개" 분류였으나 ghcr 비공개라 복구 불가였던 오분류 케이스 — horse-worker-analysis.md 참조.)