한 자원봉사 보안 단체가 최신 AI 모델을 동원해 비트코인 소프트웨어 스택을 집중적으로 두드려보고 있는데, 초기 결과를 보면 개발자들이 생각했던 것보다 노출된 취약 지점이 훨씬 많은 것으로 보인다. 앵커워치(AnchorWatch) 최고경영자 롭 해밀턴과 익명의 개발자 칼레(Calle)가 함께 조직한 이 단체 '비트코인 레드팀'은 지금까지 비트코인 관련 저장소 150개를 스캔해 10여 건의 취약점을 공개했으며, 앞으로의 보안 검토를 자동화할 오픈소스 AI 플랫폼도 구축하고 있다고 밝혔다.
해밀턴에 따르면 이 작업에 투입된 AI 연산 비용은 지금까지 약 2만 달러, 하루 평균 1만 달러 수준이다. 검토에는 키미 K3, 오픈AI의 GPT 솔, 앤스로픽의 클로드 페이블과 오퍼스, Z.ai의 GLM 5.2 등 여러 최전선 모델이 동원됐다. 칼레는 발견 속도를 두고 "한 사람당 시간당 하나꼴로 치명적 취약점이 나오고 있다"고 직설적으로 표현했다.
순식간에 불어난 집계
초기 공개 이후 이 캠페인의 규모는 빠르게 커졌다. 이후 보도에 따르면 검토 대상 저장소는 390개, 기록된 잠재적 이슈는 4,962건으로 늘었고 이 가운데 720건이 고위험 또는 치명적 등급으로 분류됐다. 특히 이 중 4,900건 넘는 항목이 단 27.5시간 만에 한꺼번에 접수됐다. 이번 캠페인은 최근 콜드카드(Coldcard) 하드웨어 지갑 취약점 사태를 계기로 촉발된 측면이 있는 것으로 전해지는데, AI를 활용한 공격자들이 방어자보다 앞서 비트코인 인프라를 노릴 수 있다는 우려가 커진 것이 배경이다.
같이 보면 좋은 기사: 글로벌 M2 일주일 새 1조 달러 급증…비트코인은 되레 하락할 수도
왜 이렇게 숫자가 많을까
레드팀이 겨냥한 대상은 특정 프로젝트 하나가 아니라 지갑, 암호 라이브러리, 핵심 인프라 전반에 걸쳐 있다는 점이 이런 규모를 설명해준다. 다만 AI가 대량으로 찾아낸 결과라 해도 결국은 사람이 하나하나 걸러내야 하고, 깃발이 꽂힌 이슈 모두가 실제로 악용 가능한 진짜 버그인 것은 아니다. 해밀턴의 팀은 영향을 받는 오픈소스 프로젝트의 관리자들에게 직접 연락을 돌리고 있는데, 보도에 따르면 자기 코드에 치명적 결함이 있다는 낯선 메시지를 갑작스레 받는 개발자 입장에서는 이 과정 자체가 상당히 당혹스러운 경험이라고 한다.
더 큰 흐름의 한 갈래
이번 시도는 2020년 지캐시(Zcash) 암호 결함 발견 같은 과거 사례를 잇는, 암호화폐 업계 전반으로 번지고 있는 AI 기반 보안 감사 흐름의 연장선에 있다. 비트코인 레드팀의 플랫폼이 핵심 비트코인 소프트웨어를 검토하는 상시적인 절차로 자리 잡을지는, 지금 쏟아진 수천 건의 이슈 가운데 관리자들의 최종 분류 작업을 거쳐 실제로 새로운 취약점으로 확인되는 건수가 얼마나 되느냐에 달려 있을 것이다.
