BTCPay 서버, 자금 탈취 가능한 치명적 결함 실제 공격 당해…2.4.2 즉시 업데이트해야

비트코인 결제 처리 오픈소스 프로젝트 BTCPay 서버(BTCPay Server)가 8월 7일(현지시각) 공식 엑스(X) 계정을 통해 치명적 보안 취약점이 실제 공격에 활용되고 있다고 경고했다. 자금이 탈취될 수 있는 결함으로, 프로젝트는 서버 운영자들에게 즉시 버전 2.4.2로 업데이트하라고 촉구했다. 업데이트가 당장 어렵다면 무단 접근을 막기 위해 서버를 꺼두라고 권고했다. BTCPay 서버는 이번 결함을 비트코인 레드팀(Bitcoin Red Team) 참여자들이 발견해 신고했다고 밝혔다. 다만 결함이 정확히 어떻게 작동하는지, 공격이 언제 시작됐는지, 피해 서버가 몇 곳인지, 실제 자금이 탈취됐는지는 아직 공개하지 않았다.

운영자가 지금 당장 해야 할 조치

BTCPay 서버는 관리자 화면에서 “Server → Maintenance → Update” 경로로 들어가 업데이트를 진행한 뒤, 서버 하단 푸터에 표시되는 버전 번호가 2.4.2인지 반드시 확인하라고 안내했다. 프로젝트는 공식 유지보수 인터페이스를 통해서만 업데이트를 받으라고 강조했으며, 서드파티 다운로드나 비공식 패치는 권장하지 않는다고 밝혔다.

업데이트와 별도로 후속 조치도 필요하다. BTCPay 서버는 마카룬(macaroon)이라 불리는 인증 자격증명을 교체하고 macaroons.db 파일을 다시 생성하라고 안내했다. 다른 라이트닝 네트워크(Lightning Network) 백엔드에 사용되는 인증 문자열도 새로 발급받아야 한다. 만약 BTCPay 안에서 온체인 핫월렛을 생성한 적이 있다면 해당 지갑의 자금을 옮기고 지갑 자체를 새로 만들어야 한다고 덧붙였다. 이는 단순 소프트웨어 업데이트가 아니라 이미 노출됐을 가능성이 있는 인증 정보 전반을 초기화하라는 의미다.

자체 관리형 결제 인프라라는 구조적 약점

BTCPay 서버는 가맹점이 자신들이 직접 통제하는 인프라에서 비트코인과 라이트닝 네트워크 결제를 받을 수 있게 해주는 오픈소스 결제 처리기다. 중앙화된 결제 서비스와 달리 커스터디(수탁) 구조가 아니어서 특정 회사에 의존하지 않는다는 장점이 있지만, 그만큼 소프트웨어 업데이트와 보안 유지 책임이 개별 가맹점과 서버 관리자에게 넘어간다. 결함이 얼마나 깊게 서버 기능에 영향을 미치는지에 따라 결제 운영 전반이나 다른 민감한 서버 기능까지 노출될 수 있다.

비슷한 시기 비트코인 결제 인프라에서 또 다른 사건도 있었다. 라이트닝 지갑 서비스 제우스 월렛(Zeus Wallet)은 사이버 공격을 차단한 뒤 인프라를 오프라인으로 전환하고 시스템 점검에 들어갔다가 서비스를 복구했다. 제우스 월렛 측은 고객 자금이 유실되거나 위험에 노출된 적은 없으며, 조사 결과 라이트닝 노드 소프트웨어 자체의 결함은 발견되지 않았다고 밝혔다. 현재로서는 제우스 월렛 사건과 BTCPay 서버의 이번 취약점이 서로 연관됐다는 증거는 없다.

AI가 크립토 취약점을 기계 속도로 찾아내는 시대

BTCPay 서버는 AI가 이번 결함 발견에 관여했는지 여부를 밝히지 않았다. 그러나 최근 크립토 프로젝트에서 AI가 취약점을 찾아내는 사례가 잇따르고 있다는 점은 주목할 만하다. 지난 5월 보안 연구자 테일러 혼비(Taylor Hornby)는 앤트로픽(Anthropic)의 클로드 오푸스(Claude Opus) 4.8을 활용해 지캐시(Zcash)에 4년간 방치돼 있던 취약점을 찾아냈다. 이 결함은 공격자가 위조된 ZEC를 무제한으로 만들어낼 수 있는 심각한 문제였다.

콜드카드(Coldcard) 제조사 코인카이트(Coinkite)도 1억 달러 이상의 비트코인이 탈취된 사건과 관련해 공격자가 AI를 이용해 펌웨어 결함을 찾아냈을 것으로 의심한다고 밝힌 바 있다. 화요일에는 비트코인 스왑 서비스 볼츠(Boltz)가 여러 차례 익스플로잇(취약점 악용) 공격을 겪은 뒤 서비스를 일시 중단했다. 볼츠는 AI를 활용한 공격이 자사 팀이 결함을 수정하는 속도보다 더 빠르게 취약점을 찾아내고 있다고 설명했다.

비트코인 생태계 전반의 자체 보안 점검

이번 결함을 신고한 비트코인 레드팀은 자원봉사자들로 구성된 그룹으로, 최근 비트코인 관련 오픈소스 프로젝트 전반을 훑으며 다수의 보안 이슈를 찾아낸 활동으로 알려져 있다. BTCPay 서버의 이번 취약점 역시 이 그룹의 점검 과정에서 발견돼 신고됐다. 잇따른 해킹 사건 이후 비트코인 커뮤니티 전반에서 오픈소스 코드에 대한 보안 재검토가 확산되는 흐름 속에 이번 경고가 나온 셈이다.

BTCPay 서버는 “패치를 설치할 때까지 서버를 켜두면 자금 손실로 이어질 수 있다”는 취지로 즉각적인 조치를 반복해서 강조했다. 아직 공격 방식이나 피해 규모에 대한 세부 정보는 공개되지 않았지만, 더 많은 운영자가 패치를 설치해 공개로 인한 위험이 줄어들면 추가 정보가 나올 수 있다는 게 프로젝트 측 설명이다. 그때까지 운영자에게 주어진 지침은 단순하고 분명하다. 2.4.2로 업데이트하거나, 그럴 수 없다면 서버를 꺼두는 것이다.