BTCPay 서버가 공격자들이 치명적 취약점을 악용해 인증 파일을 탈취하고 연결된 노드에서 자금을 빼간 사건 이후 라이트닝 노드에 대한 원격 접근을 제한했다고 코인텔레그래프가 전했다. 하드웨어 지갑 업체 파운데이션(Foundation)과 비트코인 매체 시타델21(Citadel21) 모두 자사 라이트닝 노드가 영향을 받았다고 확인했지만, 탈취된 총액과 피해를 입은 운영자 수는 아직 파악되지 않았다.
BTCPay는 이에 대응해 LND 0.21.1을 탑재한 2.4.2 버전을 배포했으며, 표준 설치 환경에서는 매커룬(macaroon) 인증 정보를 자동으로 재발급하도록 했다. 임시 조치로는 도커(Docker) 배포판의 BTCPay 서버 도메인과 토르(Tor) 오니언 주소를 통한 원격 라이트닝 접근을 일시적으로 제한했는데, 이 조치는 제한이 풀릴 때까지 지어스(Zeus) 같은 외부 지갑 연결도 함께 막는다.
매커룬이 실제로 통제하는 것
이번 취약점은 인증되지 않은 원격 공격자가 라이트닝 네트워크에서 가장 널리 쓰이는 구현체인 LND의 .macaroon 인증 파일을 손에 넣을 수 있게 했다. 매커룬은 API 키와 비슷하게 작동한다. 이를 손에 넣은 사람은 누구든 노드에 결제 채널을 열거나 닫으라고 지시하고 그 안의 자금을 옮길 수 있다. 매커룬 하나를 확보하는 것만으로도 공격자는 그 노드의 라이트닝 잔액을 사실상 완전히 원격 장악하게 되는 셈이다.
확인된 피해자, 아직 모르는 규모
파운데이션 CEO 잭 허버트는 회사의 라이트닝 노드가 밤사이 털렸다고 밝히면서도, 회사의 핫월렛은 영향을 받지 않았고 라이트닝 채널만 강제로 닫히고 쓸려나갔다고 설명했다. 익명의 인물 호들로너트(hodlonaut)가 운영하는 비트코인 매체 시타델21도 자체 노드에서 같은 결과를 보고했다. 양측 모두 구체적인 피해 금액은 공개하지 않았고, BTCPay 역시 전체 피해 운영자 수를 밝히지 않아 실제 피해 규모는 여전히 미지수로 남아 있다.
같이 보면 좋은 기사: BIP-110 포크, 두 블록에서 정체... 메인체인과 격차 88블록
패치는 이미 벌어진 도난을 되돌리지 못한다
2.4.2로 업데이트하면 새로운 공격자에게는 취약점이 막히지만, 이미 노출된 서버에서 유출된 기존 인증 정보를 무효화하지는 못한다. BTCPay도 운영자들에게 이 점을 강조하고 있다. 프로젝트 측은 영향을 받은 노드를 운영 중인 이들에게 무단 결제, 예기치 않은 채널 종료, 낯선 피어, 잔액 불일치 여부를 확인하고, 표준 자동 재발급 경로 밖의 접근 방식을 쓰고 있다면 인증 정보를 직접 교체하라고 권고하고 있다.
이번 사건은 비트코인 인프라가 겪고 있는 힘든 시기에 하나를 더 얹었다. 셀프 호스팅 라이트닝 운영자들도 이제 거래소나 커스터디얼 핫월렛을 운영하는 이들에게 오랫동안 익숙했던 것과 같은 인증 정보 관리 문제에 직면하고 있다. 자기보관(self-custody)이 보안 부담을 없애주는 게 아니라 그 부담을 옮겨놓을 뿐이라는 점을 다시 한번 일깨우는 사례다.
