비트코인 결제 서버 2.4.2 긴급 배포

BTCPay 서버(BTCPay Server)가 실제 공격에 악용되는 치명적 취약점을 차단한 2.4.2 버전을 공개하고 운영자에게 즉시 업그레이드하라고 권고했다.

BTCPay 서버는 8월 7일 깃허브(GitHub) 릴리스에서 실제 악용 중인 치명적 취약점을 수정했다고 밝혔다. BTCPay 서버와 NBXplorer를 통합해 운영하는 경우 NBXplorer 2.6.10으로 함께 업데이트하도록 안내했다.

공식 릴리스에는 @brunoerg와 @benthecarman이 취약점 보고자로 기재됐다. 정확한 공격 경로와 영향을 받은 범위 등 세부 기술 정보는 공개되지 않았다.

이번 업데이트는 일반 기능 개선보다 긴급 보안 패치에 가깝다. 2.4.1이 7월 23일 나온 뒤 약 2주 만에 실제 공격을 막기 위한 2.4.2 버전이 배포됐다.

앞서 본지는 BTCPay 서버 취약점이 실제 공격에 악용돼 이용자 자금이 도난당했다고 보도했다. 당시 공개된 적용 대상은 2.4.2 이전 버전과 2.4.2 후보 버전이었으며, 도난 규모와 피해 이용자 수는 알려지지 않았다.

BTCPay 서버는 상점이 결제 대행사를 거치지 않고 자체 서버에서 비트코인(BTC) 결제를 처리할 수 있게 하는 비수탁형 오픈소스 소프트웨어다. 중앙 운영자가 일괄적으로 패치를 적용하는 방식이 아니어서 각 서버 운영자가 직접 버전을 확인하고 업데이트해야 한다.

라이트닝 네트워크 연동 환경에서는 결제 서버뿐 아니라 연결된 노드의 인증 체계도 함께 관리해야 한다. BTCPay 서버는 내부 노드와 외부 노드 연결을 모두 지원하며, 외부 노드에 접속할 때는 주소와 인증정보가 필요하다.

BTCPay 서버 공식 문서는 외부 라이트닝 노드 연결에 admin.macaroon을 사용한다고 설명한다. 마카룬은 라이트닝 노드에서 접근 범위와 권한을 증명하는 자격증명으로, 관리자용 마카룬에는 노드 제어와 관련된 높은 권한이 담긴다.

이 때문에 마카룬이 외부에 노출되면 인증되지 않은 접근이나 자금 이동 위험으로 이어질 수 있다. 자체 서버를 운영하는 비수탁형 구조에서는 소프트웨어 업데이트와 자격증명 보호가 결제 인프라 보안의 핵심이 된다.

공식 문서는 LND 업데이트 뒤 cannot get macaroon: root key with id 0 doesn’t exist와 같은 인증 오류가 발생할 수 있다고 안내한다. 다만 이 오류 사례만으로 이번 취약점의 원인이나 공격 방식을 확정할 수는 없다.

공개된 자료에서 확인되는 핵심은 치명적 취약점이 실제 공격에 이용됐고 2.4.2에서 수정됐다는 점이다. 라이트닝 연동부의 구체적인 공격 메커니즘은 공식 릴리스에 공개되지 않았다.

크립토브리핑(Crypto Briefing)은 BTCPay 서버가 책임 있는 취약점 공개에 0.42 BTC를 기부하고 도난 자금 회수 바운티를 제안했다고 보도했다. 다만 0.42 BTC 지급과 회수 바운티는 BTCPay 서버의 공식 릴리스와 보안 문서에서 확인되지 않았다.

BTCPay 서버는 보안 취약점 신고 창구로 [email protected]와 huntr.dev를 운영한다. 공식 보안 정책에는 신고 접수 뒤 최대 90영업일 안에 완화 작업을 진행하고, 수정 이후 공개 시점을 신고자와 협의한다는 절차가 명시돼 있다.

운영자는 서버가 2.4.2로 정상 업데이트됐는지 확인하고 통합 환경에서는 NBXplorer 2.6.10 적용 여부도 점검해야 한다. 라이트닝 노드를 연결한 경우에는 마카룬과 노드 접근 로그, 인증 문자열의 갱신 여부를 함께 살펴야 한다.