제3자 결제대행업체 없이 가맹점이 비트코인 결제를 직접 받을 수 있게 해주는 오픈소스 소프트웨어 BTCPay 서버가 2026년 8월 7일 금요일, 공격자들이 실제로 악용하고 있는 심각한 취약점을 공개하며 긴급 경고를 발령했다. 프로젝트 측은 관리자들에게 이 결함이 자금 탈취로 이어질 수 있다고 밝히며, 통상적인 패치 주기를 기다리지 말고 즉시 조치할 것을 촉구했다.
디크립트(Decrypt) 보도에 따르면 BTCPay는 이번 공개에서 정확한 취약점 작동 방식과 공격이 시작된 시점, 침해된 서버 수, 실제 자금 탈취 여부 등 세부 사항 상당수를 밝히지 않았다. 이는 아직 버그를 발견하지 못한 다른 공격자들에게 로드맵을 쥐여주지 않기 위해 활성 익스플로잇을 공개할 때 흔히 택하는 절충안이다.
관리자에게 요구되는 조치
이번 BTCPay의 안내는 보안 권고문치고는 이례적으로 직설적이다. 관리자들은 즉시 버전 2.4.2로 업데이트하고 서버 하단에 새 버전 번호가 표시되는지 확인하라는 지침을 받았다. 즉시 업데이트가 어렵다면 서버를 노출된 채로 두느니 아예 비활성화하라는 게 권고다. 패치 외에도 BTCPay는 운영자들에게 매커룬(macaroon) 인증 정보를 교체하고 macaroons.db 파일을 새로 생성할 것, 라이트닝 네트워크 백엔드용 인증 문자열을 갱신할 것, 그리고 BTCPay 내부에서 생성된 핫 온체인 지갑에 있는 자금을 모두 빼낸 뒤 해당 지갑을 처음부터 다시 만들 것을 지시하고 있다.
같이 보면 좋은 기사: 콜드카드 해킹 피해, 1억 3,000만 달러까지 불어날 수도…갤럭시 리서치 경고
비트코인 하드웨어·인프라에 힘든 한 달의 연장선
이 취약점은 원래 비트코인 레드팀(Bitcoin Red Team) 소속 연구자들이 발견해 알린 것으로, 셀프커스터디 보안 사고가 잇따르는 가운데 터졌다. 불과 며칠 전에는 코인카이트(Coinkite)의 콜드카드(Coldcard) 하드웨어 지갑에서 2021년 3월부터 존재해온 5년 묵은 펌웨어 버그가 드러났다. 이 기기가 전용 하드웨어 난수 생성 칩 대신 예측 가능한 소프트웨어 대체 방식을 쓰고 있었던 것이 원인으로, 공격자는 이를 이용해 5,200개 주소에서 총 1,816 BTC를 빼냈다. 이 가운데 1,082.65 BTC(당시 시세로 약 7,020만 달러)는 7월 30일 단 41분 만에 1,196개 주소에서 인출됐다. 볼츠(Boltz)도 스스로 'AI 가속 공격'이라 표현한 사고 이후 별도로 서비스를 중단한 바 있다.
가볍게 넘길 수 없는 패턴
코인카이트는 콜드카드 피해자들을 지원하고 있다고 밝혔지만 보상은 아직 제공하지 않았고, BTCPay의 권고문 역시 피해 가맹점에 대한 보상 여부를 언급하지 않고 있다. 커스터디 리스크 제거를 내세우며 마케팅해온 결제 스택 입장에서, 서버 소프트웨어 자체를 겨냥한 활성 익스플로잇은 이 모델 전체가 막고자 했던 바로 그 시나리오다. BTCPay의 대응이 피해 확인을 기다리기보다 운영자들에게 침해를 이미 당했다고 가정하고 모든 것을 교체하라고 그토록 강하게 요구하는 이유도 여기에 있을 것이다.
