BTCPay, 상점들에 서버 중단 요청: 핫월렛 탈취 보고…프로젝트 "공격은 2.4.1 이하 버전 대상"

무슨 일이 있었나

Decrypt 보도에 따르면 BTCPay Server는 기업이 비트코인 결제를 받을 때 쓸 수 있는 무료 오픈소스 도구입니다. 이 프로젝트는 일요일(11월 1일) 서버에서 소프트웨어를 운영하는 사람들, 즉 운영자들에게 서버를 끄라고 요청했습니다. 공격자가 이들 서버에 연결된 핫월렛의 자금을 탈취(다른 곳으로 이체)하고 있다는 보고가 있었기 때문입니다.

Decrypt가 인용한 내용에 따르면 BTCPay는 미국 동부시간 오후 5시 25분에 "We are receiving reports of hot wallets on BTCPay Servers being swept by unauthorized attackers."(BTCPay 서버의 핫월렛이 권한 없는 공격자에게 탈취되고 있다는 보고를 받고 있다는 취지)라고 게시했습니다. 프로젝트는 조사가 끝날 때까지 운영자들이 직접 운영하는 BTCPay 서버를 종료(./btcpay-down.sh)해 달라고 요청했습니다.

Decrypt 보도에 따르면 약 두 시간 뒤 창립자 Nicolas Dorier는 관련 보고가 2.4.2 이전의 구버전과 관련된 것으로 보이며, 공격자가 관리자 권한으로 피해 서버에 로그인했다고 밝혔습니다.

프로젝트의 현재 입장과 아직 알려지지 않은 점

Decrypt 보도에 따르면 프로젝트는 이후 조사를 통해 2.4.1(7월 23일 출시) 이하 버전을 노린 공격 경로를 확인했다고 밝혔고, 최신 2.4.7 버전 사용자의 핫월렛이 탈취됐다는 "신뢰할 만한 보고는 없다"고 했습니다. 또한 모든 사용자에게 소프트웨어를 최신 상태로 유지하라고 당부하고, 피해를 본 사용자는 세부 내용과 로그(시스템 운영 기록)를 보안팀에 보내 달라고 요청했습니다.

Decrypt 보도에 따르면 BTCPay는 목요일 긴급 업데이트로 2.4.7을 내놓아 치명적 수준(critical)의 취약점 1건과 중간 심각도 취약점 여러 건을 수정했습니다. 프로젝트는 이 취약점들이 Anthropic의 오픈소스 소프트웨어 스캐너를 통해 알려졌다고 밝혔으며, 이번 공격이 이 취약점들을 이용했는지는 아직 설명하지 않았습니다.

Decrypt 보도에 따르면 BTCPay는 피해 서버가 몇 대인지, 비트코인이 얼마나 빠져나갔는지 아직 밝히지 않았습니다.

핫월렛이 특히 민감한 이유

Decrypt 보도에 따르면 BTCPay는 직접 설치해 쓰는 소프트웨어로, 상점마다 자기 서버에서 운영합니다. 이를 한꺼번에 끌 수 있는 중앙 운영자가 없어 각 운영자나 호스팅 업체가 직접 대응해야 합니다.

Decrypt 보도에 따르면 상점은 핫월렛을 선택할 수 있으며, 이 경우 지갑 시드(소프트웨어가 지갑을 대신해 거래를 승인할 수 있게 하는 민감한 데이터)가 인터넷에 연결된 서버에 저장되어 거래에 자동 서명, 즉 자동 승인이 가능합니다. BTCPay 자체 문서는 이 기능을 "DANGER"(위험)로 표시하고 "comes with security implications"(보안상 영향이 따른다)라고 경고합니다.

Decrypt 보도에 따르면 올해 이 프로젝트에서 보안 경고가 나온 것은 이번이 처음이 아닙니다. 8월 BTCPay는 2.4.2 이전 모든 버전에 적극적으로 악용되는 치명적 수준의 취약점이 있다고 경고하며 사용자에게 업데이트하거나 서버를 끄라고 안내했습니다. 이후 프로젝트 지지자들은 도난 자금 반환액의 10%, 최대 3 BTC를 주는 회수 현상금을 후원했습니다.

누구에게 영향이 있나

Decrypt 보도에 따르면 공격 대상은 운영자 서버에 연결된 핫월렛이며, 일반 결제자의 자금이 영향을 받았다는 언급은 보도에 없습니다.

이 주제의 최신 뉴스 보기

• 가상자산·블록체인