Eclair v0.14.4, 브라우저 경유 노드 API 명령 차단

최윤서 기자 2026.10.17 21:04

라이트닝 노드 소프트웨어 Eclair가 브라우저의 인증정보 재사용으로 API 명령이 전달되는 경로를 막았다. 개발사 ACINQ는 10월 15일 공개한 v0.14.4에서 Origin 헤더가 포함된 요청을 HTTP 403으로 거부하도록 했다.

토포AI로 이 기사 더 깊이 읽기

라이트닝 노드 소프트웨어 Eclair가 브라우저에 저장된 인증정보를 악용해 노드 API에 명령을 보내는 경로를 차단했다. 새 버전은 브라우저 요청을 거부하지만 API 인증과 네트워크 접근 제한은 계속 필요하다.

개발사 ACINQ는 10월 15일 Eclair v0.14.4를 공개했다. 이 버전은 요청에 Origin 헤더가 있으면 값과 관계없이 API 처리 전에 HTTP 403 응답을 보낸다. Eclair의 공식 API 문서는 브라우저가 이 헤더를 설정하며, 해당 요청을 거부해 교차 사이트 요청 위조(CSRF)를 막는다고 설명한다. 릴리스 기록은 v0.14.4가 이전 버전과 호환된다고 안내한다.

문제는 브라우저가 저장된 HTTP Basic 인증정보를 다른 사이트에서 시작된 요청에도 붙일 수 있다는 점이다. 사용자가 악성 페이지를 열면 페이지가 Eclair API에 요청을 보내 노드 명령을 전달할 수 있었다. 악성 페이지가 응답 내용을 읽지 못하더라도 요청 자체는 노드에 도달할 수 있다.

Eclair API는 노드 상태 조회뿐 아니라 라이트닝 채널 개설·종료, 결제 송수신 기능도 제공한다. 따라서 API가 켜져 있고 운영자의 브라우저가 API에 접근할 수 있으며 인증정보가 저장된 환경이 취약 조건이다. 확인된 피해 규모나 실제 악용 사례는 없다.

이번 조치는 브라우저에서 API를 직접 호출하는 웹 인터페이스에도 영향을 준다. 같은 출처에서 제공되는 프런트엔드라도 브라우저가 API를 직접 호출할 수 없어 운영자는 브라우저와 Eclair 사이에 별도 백엔드를 둬야 한다. 반면 일반적인 curl이나 eclair-cli 요청에는 Origin 헤더가 포함되지 않아 명령줄에서 기존처럼 API를 사용할 수 있다.

Origin 헤더 차단은 브라우저 경유 요청을 걸러내는 장치다. 비브라우저 클라이언트는 이 헤더를 생략할 수 있어 헤더가 없다는 이유만으로 요청을 신뢰할 수는 없다. ACINQ는 수정 내용에서 이 조치가 인증을 대체하지 않는다고 밝혔다.

ACINQ의 설정 문서는 API를 외부에 노출하지 말라고 안내한다. API는 기본적으로 비활성화돼 있고 기본 바인딩 주소는 로컬호스트인 127.0.0.1이다. 운영자는 이 설정과 인증을 유지해야 한다. v0.14.4 업데이트는 채널을 닫지 않고 Eclair를 중지한 뒤 버전을 올리고 재시작하면 된다.

이번 변경은 브라우저가 인증정보를 재사용해 명령을 전달할 수 있는 경로를 막았다. API 자체의 외부 노출 위험까지 없앤 것은 아니다. 앞서 본지는 Eclair가 라이트닝 채널의 수수료 손실을 막기 위해 코드 두 곳을 수정한 사례를 보도했다.