4962건 보안 지적, 비트코인 주변 코드 겨눴다

비트코인(BTC) 생태계의 주변 오픈소스 코드 390개 프로젝트에서 AI 기반 보안 점검으로 취약점 후보 4962건이 지적됐다. 이 가운데 85건은 치명적, 635건은 고위험 항목으로 분류됐다.

디크립트(Decrypt)는 22일 비트코인 레드팀(Bitcoin Red Team)이 20여 명의 개발자로 구성돼 비트코인 관련 공개 오픈소스 전반을 점검하고 있다고 전했다. 이 그룹은 AI 도구와 사람의 검토를 함께 활용해 취약점 후보를 찾고, 유효한 발견은 개발자에게 비공개로 먼저 전달해 패치를 유도하는 방식으로 움직인다.

이번 작업의 초점은 비트코인 프로토콜 자체가 아니다. 지갑, 라이트닝 애플리케이션, 소프트웨어 라이브러리, 결제 서비스처럼 비트코인을 둘러싼 주변 소프트웨어가 주요 점검 대상이다.

이번 작업은 8월 초 비트코인 관련 오픈소스 390개 프로젝트에서 취약점 후보 4962건이 지적됐다는 보도 이후 이어진 흐름이다.

코인데스크(CoinDesk)는 앞서 24시간 안팎의 점검에서 390개 프로젝트를 대상으로 4962건의 지적 사항이 나왔다고 전했다. 다만 이 숫자는 모두 확정 취약점이 아니라 점검 과정에서 걸러진 발견 후보 기준이다.

보안 업계에서 레드팀은 공격자 관점으로 시스템을 시험해 약점을 찾는 조직을 뜻한다. 전통적으로는 침투 테스트와 수동 코드 검토가 중심이었지만, 생성형 AI가 코드 패턴을 빠르게 훑으면서 점검 범위와 속도가 크게 넓어졌다.

비트코인 레드팀은 중국 문샷AI(Moonshot AI)의 키미 K3(Kimi K3)와 Z.ai의 GLM 5.2를 주요 도구로 쓰고 있다. 오픈AI(OpenAI)와 앤트로픽(Anthropic) 모델도 병행했지만, 미국계 상용 모델은 보안 연구 요청을 더 자주 막았다는 설명이 나왔다.

개발자 칼레(Calle)는 X에서 “Bitcoin is burning”이라고 말했다. 그는 공개 오픈소스 전반에 대한 기본 점검을 거의 마쳤다는 취지로 상황을 설명했다.

논쟁은 AI 모델 접근권 문제로 번졌다. 비트코인 폴리시 인스티튜트(Bitcoin Policy Institute)가 주도한 공개서한에는 코인베이스($COIN), 블록(Block), BitGo 등 40개가 넘는 비트코인·크립토 기업과 개발자 후원 단체가 이름을 올렸다.

이들은 방어자가 공격자보다 약한 도구를 쓰는 구조가 문제라고 지적했다. 공개서한은 △더 강한 모델의 조기 접근 △충분한 컴퓨팅 자원 △비공개 코드 검토 환경 △소규모 유지보수자 포함 △AI 연구소 보안팀과의 직접 연락망을 요구했다.

오픈AI는 4월 공개 글에서 트러스티드 액세스 포 사이버(Trusted Access for Cyber) 프로그램을 확대하고, 검증된 방어자에게 더 허용적인 사이버 모델 접근을 제공하겠다고 밝혔다. 회사는 방어 목적의 사이버 보안 작업을 지원하되, 오용을 막기 위해 신원 확인과 접근 단계를 구분하겠다는 입장이다.

비트코인 레드팀의 문제 제기는 이 허용 범위가 실제 오픈소스 방어 현장에 충분한지를 묻는 사례가 됐다. 방어 연구자는 취약점 재현과 영향도 검증에 더 강한 모델이 필요하다고 주장하지만, AI 기업은 같은 기능이 공격 자동화에 악용될 가능성도 함께 관리해야 한다.

비트코인 코어 저장소의 공식 보안 정책은 보안 문제를 [email protected]로 신고하도록 안내한다. 이는 핵심 네트워크 소프트웨어의 신고 경로이며, 비트코인 레드팀이 주로 다루는 지갑, 라이트닝, 라이브러리, 결제 서비스 등 주변 생태계의 대응 체계와는 구분된다.

국내 이용자와 개발사에는 프로젝트별 유지보수 상태를 따져봐야 하는 사안이다. 지갑이나 결제 인프라, 라이트닝 관련 서비스를 쓰는 경우 프로토콜의 안전성만이 아니라 해당 소프트웨어의 패치 속도와 취약점 신고 체계를 함께 봐야 한다.

이번 사안은 ‘비트코인이 깨졌다’는 신호라기보다, AI가 오래된 오픈소스 코드의 약점을 더 낮은 비용으로 드러내기 시작했다는 경고에 가깝다. 공개 정보만으로는 비트코인 프로토콜 자체의 구조적 문제는 확인되지 않았다. 유지보수 속도가 느린 프로젝트일수록 AI 기반 점검과 책임 있는 신고 절차를 갖추는 일이 더 중요해졌다.