오픈소스 결제 서버 BTCPay Server 구버전의 핫월렛 유출과 관련해 비트코인(BTC)과 라이트코인(LTC) 약 163만달러(약 21억9천만원)가 연관 주소에서 추적됐다. 집계 기간은 10월 30일부터 11월 2일 오후 3시(한국시간)까지다.
비트쿼리(Bitquery)는 해당 기간의 거래를 분석해 추적액을 집계했다고 밝혔다.
집계에는 BTCPay Server가 공개한 두 주소와 비트쿼리가 거래 행태를 근거로 연관성을 중간~높은 신뢰도로 평가한 별도 비트코인 지갑이 포함됐다. 공개된 두 주소의 거래가 모두 이번 도난에 해당한다고 확정된 것은 아니다.
비트쿼리는 비트코인 18.38개와 라이트코인 3405개가 포함된 스윕 거래 682건을 집계했다. 거래 건수는 피해 서버나 사업자 수를 뜻하지 않는다.
경고 이후 집계된 거래는 267건으로, 금액은 15만달러(약 2억원)다. 이 금액은 163만달러에 이미 포함돼 있어 별도 피해액으로 더할 수 없다.
163만달러는 추적 범위에서 포착된 자금 규모이지 확인된 전체 피해액이나 회수액이 아니다. 집계에는 다른 주소와 자산, 라이트닝 결제 자금이 포함되지 않았다.
BTCPay Server는 11월 1일 비트코인과 라이트코인 핫월렛에서 자금이 도난당했다는 신고를 받았다고 밝혔다. 11월 2일 보안 공지에서는 공격 대상이 2.4.1 및 이전 버전이라고 설명했다.
프로젝트는 공격자가 2.4.2에서 수정한 취약점을 다른 방식으로 악용했다고 밝혔다. 본지는 앞서 2.4.2 긴급 배포 당시 업데이트 권고를 전했다.
경고 시점에 2.4.2 이상을 사용한 서버에서는 이번 공격의 영향이 확인되지 않았다. 2.4.1 이하를 사용했거나 경고 뒤에야 업데이트한 운영자에게는 새 지갑과 새 서버로 이전하고 기존 서버의 접속 정보와 접근 키를 교체하라고 권고했다.
핫월렛은 자금을 보내는 데 필요한 키를 서버에 보관하는 지갑이다. BTCPay Server는 서버 바깥에 지출 키를 둔 지갑은 이번에 보고된 도난의 영향을 받지 않았다고 밝혔다.
본지는 앞서 핫월렛 자금 유출 신고에 따른 서버 중단 권고를 보도했다. 이번 분석은 그 뒤 제시된 자금 추적액과 집계 범위를 다룬다.
<Copyright ⓒ TokenPost, unauthorized reproduction and redistribution prohibited>
Most Popular