음.... 일단 실제로 사용하는(문제를 풀기 위해) csrf_token은 request를 통해 받긴 합니다.

정확히는 모르겠지만

1. 의미 없는 값
2. 또 다른 CSRF를 방지하는 token 값..? (이건 잘 모르겠네요)

둘 중 하나에 해당할 것 같습니다.

md5((username + request.remote_addr).encode()).hexdigest()

username = admin
remote_addr = 외부 IP 주소로 계산 해보셨나요?

저는 동일하게 나옵니당