보안 발견 85건 수정한 비트코인 결제 서버 2.4.7 공개

BTCPay Server가 10월 29일 공개한 2.4.7 버전은 보안 점검에서 발견된 항목 85건을 수정했다. 수정 사항에는 결제 처리와 회계 데이터 오류, 상점별 권한 문제가 포함됐다.

프로젝트는 릴리스 노트에서 스캐너 보고서의 원래 등급을 기준으로 85건을 치명적 1건, 높음 13건, 중간 52건, 낮음 19건으로 분류했다. 여러 가맹점이 함께 쓰는 서버 운영자에게 업데이트를 권고했다.

수정 목록에는 △취소된 지급을 다시 열어 한도를 우회하는 문제 △다른 상점의 결제 양식이나 청구서 정보에 접근하는 문제 △동시 로그인 요청으로 2단계 인증 시도 제한을 우회하는 문제가 담겼다.

결제 상태를 갱신할 때 같은 거래가 반복 전파되거나 결제 보고서가 지나치게 많은 데이터를 처리하는 문제도 손봤다. 릴리스 노트에는 결제 처리와 회계 데이터의 오류를 막는 수정도 담겼다.

앤스로픽(Anthropic)은 OSS Scanner 저장소에서 보고서가 모델로 생성되며 사람의 검토를 거치지 않는다고 설명한다. BTCPay Server의 릴리스 노트는 이 항목들이 실제 공격에 쓰였다고 밝히지 않았다. 따라서 85건은 스캐너가 보고한 발견 항목 수이지, 실제 공격이나 피해 건수가 아니다.

◇ 직접 운영하는 서버, 업데이트 책임도 운영자에게

BTCPay Server는 사업자가 결제 대행사를 거치지 않고 비트코인(BTC) 결제를 받도록 돕는 오픈소스 소프트웨어다. 공식 이용 안내는 결제 대금이 사업자가 관리하는 지갑으로 직접 들어간다고 설명한다.

결제를 받기 위해 서버에 개인키를 보관할 필요는 없다. 다만 지출 키를 서버에 두는 핫월렛을 쓰면 서버 접근 권한이 자금 이동 권한과 연결될 수 있다.

자체 서버를 운영하면 설치와 업데이트, 백업도 직접 관리해야 한다. 외부 호스팅을 이용하는 상점은 서버 차원의 작업을 호스트에 맡기므로, 운영 방식에 따라 패치 적용 책임자가 달라진다.

◇ 구버전 자금 탈취 사고와는 별개

이번 수정과 별도로 BTCPay Server 프로젝트는 11월 2일 사고 공지에서 비트코인과 라이트코인(LTC) 탈취 신고가 접수됐으며 공격 대상은 2.4.1 이하 서버였다고 밝혔다. 2.4.1은 7월 23일 공개됐다. 프로젝트는 8월 7일 배포한 2.4.2에서 수정한 취약점을 공격자가 다른 방식으로 악용했다고 설명했다.

이 사고와 관련해 핫월렛 탈취 신고 뒤 운영자에게 서버 중단이 요청된 사실도 앞서 보도됐다. 프로젝트는 X를 통해 운영자에게 조사 중 서버를 중단해 달라고 요청했고, 루나노드(LunaNode) 등 호스팅 업체는 예방 조치로 일부 서버를 오프라인 처리했다고 공지했다.

블록체인 분석업체 비트쿼리(Bitquery)는 10월 30일부터 11월 2일까지 도난 연관 주소의 거래 682건을 추적했다. 집계에서 비트코인 18.38개와 라이트코인 3,405개를 확인해 총 162만8450달러(약 21억9000만원)로 계산했다.

이 수치는 거래 건수이지 서버나 피해자 수가 아니며, 비트쿼리는 다른 주소와 자산은 집계하지 않았다고 밝혔다. BTCPay Server는 공개한 주소에 사고 이전 거래가 포함된 것으로 보인다며 전체 거래 내역이나 잔액을 확정 피해액으로 볼 수 없다고 설명했다.

프로젝트는 11월 1일 경고 당시 2.4.2 이상을 사용한 서버에서 이번 공격의 피해를 확인하지 못했다고 밝혔다. 이는 해당 사고에 관한 조사 결과다.

2.4.1 이하 서버를 운영했거나 무단 접근 흔적이 있다면 업데이트만으로 이미 노출된 권한을 없앨 수 없다고 프로젝트는 안내했다. 남은 핫월렛 자금을 새 지갑으로 옮기고 새 서버를 구축한 뒤, 기존 서버가 접근할 수 있었던 자격 증명을 교체하라고 권고했다.