BTCPay 서버는 공격자가 치명적인 결함을 악용해 2.4.2 이전 버전을 사용하는 이용자의 자금을 탈취했다고 확인했으며, 운영자에게 즉시 업데이트할 것을 권고했습니다.
자체 호스팅되는 비트코인 결제 처리 시스템은 해당 취약점을 해결하기 위해 2.4.2 버전을 출시했습니다. 이 문제로 인해 인증되지 않은 원격 공격자가 라이트닝 네트워크(LND)의 .마카룬 자격증명 파일을 탈취할 수 있었습니다.
BTCPay 서버 이용자가 해야 할 일
탈취된 자격증명은 공격자에게 LND 노드에 대한 전체 제어권을 부여할 수 있습니다. 이렇게 되면 공격자가 노드에서 직접 자금을 이동시킬 수 있습니다.
“공격자가 이 취약점을 실제로 악용했다는 사실을 확인했습니다. 일부 이용자가 영향을 받았고 자금이 탈취됐습니다. 운영자에게 업데이트할 시간이 아직 필요하기 때문에 기술적인 세부 사항은 당장 공개하지 않습니다.” – BTCPay 서버 팀
이 위험은 특히 라이트닝 네트워크(LND)를 사용하는 배포 환경에 해당합니다. 다른 라이트닝 네트워크 방식과 비라이트닝 사용자는 자격증명 유출 위험이 없지만, 프로젝트 측은 이들도 업데이트를 권장했습니다. BTCPay 서버 자체의 온체인 및 핫 지갑은 영향을 받지 않았습니다.
LND를 사용하는 운영자는 반드시 2.4.2 버전과 LND 0.21.1로 유지보수 대시보드를 통해 업데이트해야 합니다. 이 업데이트는 마카룬을 자동으로 재생성합니다. 즉시 패치가 어려운 경우에는 서버를 오프라인으로 전환해야 합니다.
프로젝트는 또한 LND 사용자가 익숙하지 않은 피어, 예상치 못한 채널 종료, 자신이 보내지 않은 결제 내역 등 노드 활동을 반드시 점검해야 한다고 조언했습니다.
비트코인 셀프 커스터디에 두 번째 타격
이번 취약점 공개는 또 다른 주요 보안 사고의 직후에 나왔습니다. 갤럭시 리서치는 금요일, 총 1,719 비트코인(BTC)이 콜드카드 이용자로부터 탈취됐으며, 이는 약 1억 1,100만 달러에 해당한다고 확인했습니다. 미확정 피해 사례가 확인되면 전체 손실액은 1억 3,000만 달러를 초과할 것으로 전망됩니다.
두 사건 모두 비트코인 프로토콜 자체는 영향을 받지 않았습니다. 대신, 프로토콜 외부 도구의 취약점이 드러났습니다.
