비트코인 코어 취약점 3건, 수정 13개월 뒤 공개

비트코인(BTC) 노드 소프트웨어인 비트코인 코어(Bitcoin Core)의 보안 취약점 3건이 수정본 배포 약 13개월 만인 2026년 11월 10일 공개됐다. 한 건은 일부 채굴 노드의 블록 초안 생성을 막을 수 있었고, 나머지 두 건은 특정 설정에서 Tor 연결 보호와 블록 처리를 약화할 수 있었다.

비트코인 코어는 세 건을 각각 CVE-2025-62861, CVE-2025-62860, CVE-2025-62859로 공개했다. CVE-2025-62861은 위험도 ‘높음’, 나머지 두 건은 ‘중간’으로 분류됐다. (CVE-2025-62861 공지, CVE-2025-62860 공지, CVE-2025-62859 공지)

세 건은 2025년 10월 배포된 30.0과 29.2에 모두 수정됐다. 30.0은 10월 10일, 29.2는 10월 14일 배포됐다. 따라서 ‘13개월’은 수정본 배포부터 세부 공개까지의 간격을 가리킨다. (비트코인 코어 CVE-2025-62861 공지)

세 취약점의 신고 시점은 달랐다. CVE-2025-62859는 2025년 4월 28일 신고돼 공개까지 약 19개월이 걸렸고, CVE-2025-62860은 9월 12일, CVE-2025-62861은 9월 26일 신고됐다. (CVE-2025-62859 공지, CVE-2025-62860 공지, CVE-2025-62861 공지)

◇ 공개 시점은 지원 종료 정책에 맞춰져

비트코인 코어의 보안 공개 정책은 중간·높음 위험도 취약점의 세부 내용을 마지막 영향 버전의 지원 종료 2주 뒤 공개하도록 정한다. (비트코인 코어 보안 공개 정책)

비트코인 코어 32.1 릴리스 노트는 29.x와 그 이전 버전이 지원 종료돼 더는 업데이트를 받지 않는다고 안내했다. 같은 노트는 30.0에 수정된 중간·높음 위험도 취약점 3건의 세부 내용을 2주 뒤 공개할 예정이라고 밝혔다. (비트코인 코어 32.1 릴리스 노트)

29.x의 지원 종료일은 2026년 10월 27일이었고, 세 공지는 2주 뒤인 11월 10일 게시됐다. 수정본이 먼저 배포되고 지원 종료 뒤 세부 내용을 공개한다는 정책이 이번 공개 일정에도 적용됐다. (비트코인 코어 CVE-2025-62861 공지, 보안 공개 정책)

◇ 세 취약점은 서로 다른 조건에서 작동

위험도가 가장 높은 CVE-2025-62861은 체인 재구성 과정에서 발생했다. 체인 재구성은 노드가 기존 블록 일부를 제외하고 다른 유효 체인을 채택하는 절차다. 이 과정에서 거래를 미확인 거래 풀로 되돌릴 때 제거 규칙이 잘못 적용돼 풀의 거래 관계가 일관성을 잃을 수 있었다. (CVE-2025-62861 공지)

버전 3 거래(TRUC)의 형제 제거 규칙이 거래를 복원하는 과정에도 적용되면서, 이미 제거된 거래에 의존하는 후속 거래가 남을 수 있었다. 그 결과 영향을 받은 채굴 노드는 블록 초안의 유효성 검사에 실패해 재시작 전까지 새 초안을 만들지 못할 수 있었다. 이 문제는 거래 전파 정책에 있었으며 합의 규칙 자체의 오류를 뜻하지는 않는다. (CVE-2025-62861 공지)

CVE-2025-62860은 운영자가 기본값이 아닌 -whitelist 설정을 사용하고, 지정한 IP 범위에 Tor 프록시 주소를 포함했을 때 발생했다. 이 경우 외부에서 들어온 Tor 연결이 신뢰된 연결처럼 취급돼 서비스 거부 공격 방어와 일부 개인정보 보호 조치가 완화될 수 있었다. (CVE-2025-62860 공지)

비트코인 코어는 해당 설정을 사용한 외부 접속 가능 메인넷 노드가 수천 개였다고 밝혔다. 비표준 -whitelist 설정을 사용하지 않은 노드는 영향을 받지 않았다. (CVE-2025-62860 공지)

CVE-2025-62859는 전송량을 줄인 압축 블록을 복원한 뒤 위트니스 데이터 변조 여부를 검사하는 과정에서 발생했다. 검사에 실패하면 노드는 같은 연결 상대에게 전체 블록을 다시 요청하고 최대 10분을 기다릴 수 있었다. (CVE-2025-62859 공지)

공격자가 피해 노드의 고대역폭 연결 3개를 모두 통제하거나 노드가 -blocksonly 설정을 사용하면 지연을 반복할 수 있었다. 비트코인 코어는 이 취약점을 중간 위험도로 분류했다. (CVE-2025-62859 공지)

수정 범위는 버전별로 다르다. 28.3에는 Tor 연결 문제와 채굴 노드 문제가 수정됐지만 블록 처리 문제까지 세 건 모두 반영되지는 않았다. 세 취약점 모두 수정된 버전은 29.2와 30.0이며, 29.x와 그 이전 버전은 현재 지원 종료 상태다. (CVE-2025-62860 공지, CVE-2025-62861 공지, CVE-2025-62859 공지, 비트코인 코어 32.1 릴리스 노트)

앞서 채굴 노드의 블록 초안 생성과 Tor 연결 등에 영향을 줄 수 있는 취약점 3건을 다룬 본지 보도에서는 기술적 영향과 수정 범위를 전했다. 이번 공개 일정은 수정본 배포와 상세 공개가 별도 단계로 진행됐으며, 공개 시점이 지원 종료 정책에 따라 정해졌음을 보여준다.