코브라(Cobra) bitcoin.org 도메인의 가명 운영자는 인공지능(AI) 발전과 시장 약세가 비트코인(BTC) 자기수탁 부담을 키울 수 있다고 우려했다. 그는 악의적 행위자의 공격 역량이 커질수록 개인 키를 직접 관리하는 일이 더 위험하고 부담스러워질 수 있다고 봤다.
코브라의 X 게시글은 비트코인닷컴뉴스(Bitcoin.com News)가 15일 소개했다. 코브라는 최근 하락장이 가혹했고 비트코인 보유자들이 낙담했다고 적었다.
이 발언은 시장과 보안에 관한 코브라의 우려다. BTCPay Server 사고 공지는 공격 경로를 구버전 소프트웨어의 취약점으로 설명했으며, AI를 원인으로 들지 않았다.
비트코인의 자기수탁은 보유자가 거래소 등 수탁기관에 맡기지 않고 개인 키를 직접 관리하는 방식이다. 개인 키는 자산에 접근하고 거래를 승인하는 데 쓰인다.
bitcoin.org는 자기수탁이 수탁기관의 파산 위험을 줄이는 대신 키를 안전하게 관리할 책임을 보유자에게 둔다고 설명한다. 키를 잃거나 노출하면 자산에 접근하지 못하거나 다른 사람이 접근할 수 있다.
수탁기관을 이용하면 직접 키를 관리하는 부담은 줄어들 수 있다. 대신 자산 보유자는 해당 기관의 보안과 지급 능력에 의존한다.
◇ 공격 경로는 구버전 소프트웨어 취약점
BTCPay Server는 서버 핫월렛에 보관된 비트코인과 라이트코인이 탈취됐다는 신고를 받았다. 신고는 11월 1일 접수됐고 사고 공지는 11월 2일 공개됐다.
핫월렛은 자산 이동에 필요한 키를 인터넷에 연결된 서버에 보관하는 지갑이다. 키가 온라인 서버 안에 있으면 서버 소프트웨어의 취약점이 지갑 자산에 영향을 줄 수 있다.
조사에서 공격 대상은 2.4.1 이하 버전을 실행하던 서버로 확인됐다. 2.4.1은 7월 23일 출시됐다.
공격에 이용된 취약점은 2.4.2에서 수정됐다. 해당 버전은 8월 7일 배포됐다.
서버 밖에 키를 보관한 하드웨어 지갑은 이번 탈취의 피해 대상이 아니었다. 이번 사고에서는 서버 안의 핫월렛과 서버 밖 기기의 키 보관 위치가 피해 범위를 가르는 요소였다.
AI를 활용한 비트코인 보안 점검 사례도 있다. 본지는 앞서 Bitcoin Red Team이 코드 저장소 150곳을 점검하고 십여 건의 취약점을 프로젝트 측에 비공개로 제보한 사례를 보도했다.
오래된 소프트웨어 취약점이 지갑 자산 탈취로 이어진 전례도 있다. 본지는 과거 콜드카드(COLDCARD)의 오래된 펌웨어 결함이 악용돼 비트코인 1600개가 탈취된 사례를 보도했다. 이 사건은 하드웨어 지갑 펌웨어 문제로, BTCPay Server의 서버 소프트웨어 취약점과 공격 대상이 달랐다.
사고 관련 주소의 거래 내역을 모두 피해액으로 합산할 수는 없다. 신고보다 앞선 거래도 일부 포함돼 있어 이번 침해와 관련된 거래를 확정할 수 없기 때문이다.
11월 1일 경고 당시 이미 2.4.2 이상을 실행하던 서버에서는 이번 공격의 피해가 관측되지 않았다. 공지는 2.4.1 이하 버전 운영자에게 남은 자금을 새 지갑으로 옮기고 새 서버를 구축하라고 권고했다.
<Copyright ⓒ TokenPost, unauthorized reproduction and redistribution prohibited>
Most Popular