구글에서 선호하는 출처로 추가
라이트닝 지갑 엘엔비츠, 1.7.0 배포…재가동 전 업데이트 권고
김민준 기자
엘엔비츠가 보안 취약점을 고친 1.7.0 버전을 배포했다. 1.7.0 이전 버전이 영향을 받아 서버 운영자에게 재가동 전 업데이트를 안내했다.
토포AI로 이 기사 더 깊이 읽기
엘엔비츠(LNbits)가 11월 10일 보안 취약점을 고친 1.7.0 버전을 긴급 배포했다. 엘엔비츠는 서버를 재가동하기 전에 업데이트하라고 안내했다.
엘엔비츠는 보안 공지에서 취약점이 11월 8일 발견됐으며 1.7.0 이전 버전이 영향을 받는다고 밝혔다. 이전 버전에서 운영되는 자금은 도난 위험에 놓일 수 있다고 설명했다.
엘엔비츠는 공격이 잇따르자 서버 운영자들에게 서버 중단을 요청하고, 자사가 운영하는 호스팅 서비스의 모든 인스턴스를 비활성화했다. 이번 배포로 재가동 전에 적용할 버전을 제시했다.
업데이트와 침해 후 복구는 별개 절차다. 엘엔비츠는 패치를 설치해도 공격자가 이미 얻은 접근 권한이 자동으로 사라지지 않을 수 있다고 설명했다.
침해가 의심되면 새 서버에 1.7.0을 설치해야 한다. 기존 서버를 교체하기 전에는 로그와 관련 기록을 보존하도록 권고했다.
지갑 키를 재설정하면 기존 키는 무효화된다. 연결된 앱과 서비스에도 새 키를 반영해야 한다.
깃허브(GitHub) 릴리스에는 최고 관리자가 모든 지갑 키를 재설정하는 기능이 1.7.0에 추가됐다고 적혔다. 이는 서버 이용자가 연결된 서비스의 키를 함께 갱신해야 한다는 공지 내용과 맞닿아 있다.
자금 공급원에 쓰는 API 키와 다른 자격 증명은 발급처에서 폐기하고 교체해야 한다. 서버 설정에 저장한 다른 비밀값도 바꾸도록 엘엔비츠는 안내했다.
확장 기능과 연결된 기존 연동은 해제하거나 삭제한 뒤 새 자격 증명으로 다시 구성해야 한다. 키와 연동 정보를 함께 바꾸도록 한 복구 절차다.
깃허브 릴리스 설명은 인증, 확장 기능 관리, 결제 처리 분야의 보안 강화와 취약점 수정을 언급했다. 구체적으로 어떤 변경이 이번 공격 경로를 차단하는지는 공개되지 않았다.
비트팁봇 운영자는 새로 만들어진 계정들이 서버 한 곳에서 2,285,545사토시를 인출했다고 보고했다. 본지는 앞서 비트팁봇 운영자의 피해 보고를 전했다.
슬로우미스트(SlowMist) 사고 기록에도 같은 수량이 단일 인스턴스 피해 사례로 올라 있다. 이 수치는 엘엔비츠 전체 피해액이나 피해 인스턴스 수를 나타내지 않는다.
엘엔비츠는 비트코인(BTC)의 라이트닝 결제와 지갑 기능을 제공하는 소프트웨어다. 이번 공지는 엘엔비츠 서버 운영자의 업데이트와 복구 조치를 다룬다.
공지에는 비트코인 네트워크나 라이트닝 프로토콜 자체가 침해됐다는 내용이 없다. 확인된 피해 보고도 운영자 서버 한 곳에 한정돼 있다.
엘엔비츠는 공격 경로와 취약점의 상세 내용을 별도 보고서로 공개하겠다고 밝혔다.
Comment 0
불러오는 중…