유효 버그 4% 그친 코인베이스, 보상 기준 높였다

코인베이스($COIN)가 공개 웹2 버그바운티 보상 대상을 고위험 취약점으로 좁혔다. 올해 상반기 해커원(HackerOne)에서 닫은 보고 가운데 실제 보상으로 이어진 유효 버그는 4%에 그쳤다.

코인베이스는 7월 29일 공개 글에서 공개 웹2 버그바운티 프로그램의 보상 범위를 High, Critical, Extreme 등급 취약점으로 조정했다고 밝혔다. Low와 Medium 등급 취약점은 공개 프로그램 보상 대상에서 빠졌다. 웹3와 스마트컨트랙트 취약점을 다루는 칸티나(Cantina) 프로그램은 그대로 유지된다.

보상 한도는 High 등급 최대 6000달러(약 850만원), Critical 등급 최대 1만5000달러(약 2126만원), Extreme 등급 최대 100만 달러(약 14억1700만원)다. 코인베이스는 내부 보안 도구가 저위험·중위험 이슈를 상시 대규모로 탐지할 수 있게 되면서 공개 프로그램의 초점을 고난도 취약점으로 옮겼다고 설명했다.

이번 개편의 핵심은 보상 축소보다 검증 부담에 있다. 코인베이스가 올해 상반기 해커원에서 닫은 보고를 분류한 결과 44%는 이미 알고 있던 중복 보고였고, 37%는 실행 가능한 취약점이 아닌 정보성 보고였다. 15%는 무효로 처리됐고 실제 보상 대상이 된 유효 버그는 4%였다.

버그바운티는 외부 보안 연구자가 서비스나 코드의 취약점을 찾아 운영 주체에 알리고, 유효성이 확인되면 보상을 받는 제도다. 거래소와 블록체인 프로젝트는 공격자가 취약점을 악용하기 전에 결함을 찾기 위해 이 제도를 운영해 왔다. 다만 생성형 AI 확산 이후 취약점 탐색과 보고서 작성 비용이 낮아지면서 검토해야 할 제출물도 함께 늘었다.

비트코인닷컴 뉴스(Bitcoin.com News)는 코인베이스의 버그바운티 보고량이 전년 대비 3배 수준까지 늘 수 있다고 전했다. 이 수치는 코인베이스의 7월 29일 공개 글에 직접 제시된 총량은 아니다. 따라서 이번 조정의 확인된 중심은 보고량 전망보다 AI로 늘어난 저품질 보고와 그 검토 비용에 있다.

해커원도 같은 흐름을 별도 자료에서 제시했다. 해커원은 4월 15일 글에서 2026년 3월 제출 건수가 4만6947건으로 전년 대비 76% 늘었고, 유효하고 악용 가능한 취약점 비중은 약 25%로 유지됐다고 밝혔다. 절대 건수가 늘면서 검증·분류·수정까지 이어지는 보안 운영 부담이 커졌다는 의미다.

AI 보안 이슈는 취약점 보고에만 머물지 않는다. 해커원은 3월 18일 발표에서 검증된 프롬프트 인젝션 취약점이 전년 대비 540% 늘었다고 밝혔다. 프롬프트 인젝션은 AI 시스템이 조작된 입력을 받아 의도하지 않은 행동을 하거나 제한된 데이터에 접근하는 공격 방식이다.

미 연방수사국(FBI)은 2024년 5월 8일 공지에서 AI가 피싱과 사회공학 공격의 속도, 규모, 자동화를 높인다고 경고했다. 문장 품질이 좋아지고 음성·영상 복제가 쉬워지면서 개인과 기업이 가짜 메시지를 구분하기 어려워질 수 있다는 설명이다.

보안업계에서는 AI가 방어와 공격 양쪽의 비용 구조를 동시에 바꾸고 있다는 평가가 나온다. 방어자는 더 빠른 탐지 도구를 얻었지만, 동시에 저품질 보고와 자동 생성 보고서를 걸러내야 한다. 공격자 역시 더 자연스러운 피싱 문구와 자동화된 정찰 도구를 활용할 수 있다.

암호화폐 업계에서는 버그바운티가 해킹 피해를 줄이는 사전 방어 장치로 쓰여 왔다. 본지는 앞서 7월 암호화폐 업계 해킹 피해와 버그바운티 제보 증가 흐름을 전한 바 있다. 코인베이스의 이번 조정도 외부 연구자 참여를 끊는 조치가 아니라 보상 신호를 고영향 취약점에 맞추는 운영 변경에 가깝다.

비슷한 문제는 대형 기술기업의 취약점 접수 체계에서도 나타나고 있다. 본지는 앞서 애플이 생성형 AI 확산 이후 취약점 보고 검증 기준을 강화한 사례를 보도했다. AI가 취약점 발견 속도를 높이는 만큼 재현 가능성과 실제 위험도를 따지는 절차도 중요해졌다는 흐름이다.

이해관계는 분명히 갈린다. 거래소 보안팀은 중복·정보성 보고를 줄여 실제 위협 대응에 시간을 배분할 수 있다. 반면 저위험·중위험 취약점을 주로 찾던 연구자는 공개 프로그램에서 받을 수 있는 보상 기회가 줄어든다.

이번 사안이 고객 자금 피해나 즉각적인 보안 사고를 뜻하는 것은 아니다. 코인베이스는 공개 프로그램의 인센티브를 고영향 취약점에 맞추고, 낮은 등급 이슈는 내부 자동 탐지 체계로 처리하겠다는 방향을 분명히 했다.

코인베이스의 공개 웹2 버그바운티 변경은 7월 29일부터 적용됐다. 웹3와 스마트컨트랙트 취약점을 다루는 칸티나 프로그램은 기존 방식으로 유지된다.

검증 출처: 코인베이스 공식 블로그, 비트코인닷컴 뉴스, 해커원 발표·블로그, FBI 공지.