'비트코인 레드팀(Bitcoin Red Team)'이라는 이름의 자원봉사 그룹이 약 27.5시간 만에 비트코인 관련 프로젝트 390개에서 총 4,962건의 보안 취약점을 찾아냈다. 시간당 평균 166건에 달하는 속도다. 8월 5일 발표된 보고서는 캐슈(Cashu) 개발자 익명 활동가 calle가 앵커워치(AnchorWatch) 공동창업자이자 CEO인 롭 해밀턴(Rob Hamilton)과 함께 이번 작업을 공동으로 이끌었다고 밝혔다.
전체 발견 건수 중 85건은 심각(critical), 635건은 높음(high) 등급으로 분류됐으며, 이 둘을 합치면 전체의 14.5%에 해당한다. 그룹 측은 전체 발견 사항의 약 21%를 실제 작동하는 개념 증명(PoC)으로 재현했으며, 오탐으로 철회한 건은 단 8건에 불과했다고 밝혔다. 이 정도 속도로 진행된 스프린트치고는 매우 낮은 오류율이다.
이번 감사 작업은 참여자들이 각자 프롬프트를 입력해 활용한 AI 에이전트에 크게 의존했다. 전체 발견 건의 91%가 사람이 직접 검토하기보다 자동화된 스캔을 통해 접수됐다. calle는 이 과정을 두고 완전 자율적인 스캐닝이라기보다는 “AI의 손을 붙잡고 이끄는” 작업에 가까웠다고 표현했다. 참여자마다 다른 프롬프트 전략을 사용하면서, 같은 코드베이스에서도 서로 다른 유형의 버그가 드러났다고 덧붙였다.
리스크가 집중된 영역
발견 건수는 카테고리별로 고르게 분포하지 않았다. 프라이버시·코인조인 도구에서 심각하거나 높음 등급으로 분류된 발견 비율이 24%로 가장 높았다. 스왑·거래소 인프라가 21%로 뒤를 이었고, 결제·가맹점 도구는 17%였다. 암호화 라이브러리와 SDK는 1,101건으로 가장 많은 발견 건수를 기록했지만, 이 중 심각·높음 등급은 10%에 그쳐 폭은 넓지만 상대적으로 얕은 문제들이 많았던 것으로 보인다.
검토된 프로젝트당 평균 1.85건의 심각한 이슈가 발견됐으며, 보고서 발표 시점 기준 390개 프로젝트 중 공식적으로 발견 내용을 통보받은 곳은 19곳, 5%도 채 되지 않았다. 나머지는 여전히 비공개 통보 절차를 밟고 있는 중이다.
콜드카드 취약점 사태에 대한 대응
같이 보면 좋은 기사: XRP 렛저, 멀티시그 조율을 온체인으로 옮기는 신규 제안 등장
이번 스프린트는 비트코인 자기보관(self-custody) 생태계에서 가장 널리 쓰이는 콜드스토리지 기기 중 하나인 코인카이트(Coinkite)의 콜드카드(Coldcard) 하드웨어 지갑에서 공개된 취약점에 대한 직접적인 대응으로 조직됐다. 레저(Ledger)의 최고기술책임자(CTO) 샤를 기유메(Charles Guillemet)는 AI 지원 검토가 하드웨어 보안 전반에 갖는 함의를 언급했다. 2021년 발생한 콜드카드 펌웨어 결함, 부적절한 난수 생성 문제로 사용자들에게 약 1억 3,000만 달러의 손실을 안겼던 이 취약점은, 연구자들 말에 따르면 이런 방식의 AI 지원 검토가 있었다면 훨씬 더 빨리 드러났을 가능성이 크다.
이번 스프린트의 성과 규모는 이미 일부 프로젝트의 운영 방식까지 바꿔놓고 있다. 비수탁형 스왑 서비스 볼츠(Boltz)는 실시간으로 쏟아지는 AI 생성 공격 리포트의 양을 따라잡지 못해 스왑을 일시 중단했다고 아틀라스21(Atlas21) 보도가 전했다. 오픈샛츠(OpenSats)는 이번 자원봉사 활동에 약 4만 달러를 지원했는데, 소박한 예산이었음에도 AI 도구가 스캐닝 작업 대부분을 처리한 덕분에 그 효과는 훨씬 크게 확장됐다는 게 주최 측의 설명이다.
calle는 인간 참여자와 자동화 에이전트가 뒤섞인 16명 규모의 팀이 스프린트 절정기에는 참여자 한 명당 시간당 약 한 건의 심각도 '치명적' 등급 취약점을 찾아낸 셈이라고 밝혔다. 모든 발견 사항은 공개 이전에 비공개로 유지보수팀에 먼저 전달됐다.
