BTCPay 설립자, 2.4.2 이전 서버의 관리자 로그인과 핫월렛 스윕 연관성 지적

BTCPay Server 창립자 니콜라스 도리에르는 일요일 보고된 핫 월렛 털림 사건이 2.4.2보다 이전 릴리스를 실행하는 서버와 관련되어 보인다고 말했습니다.

공격자는 해당 인스턴스에 관리자 계정으로 로그인했으며, 팀은 여전히 그 방법을 파악 중입니다.

수사 결과 공격 벡터가 2.4.1 릴리스 또는 그 이전에 고정되었습니다.

BTCPay는 일요일 오후 5시 25분(동부 표준시)에 경고를 발송했습니다. 조사 기간이 끝날 때까지 ./btcpay-down.sh 명령어로 인스턴스를 종료하라는 조언이었습니다.

도리에르는 약 2시간 후에 게시했습니다. BTCPay의 자체 공개 서버(버전 2.4.7)는 공격을 받지 않았다고 그는 말했습니다.

도리에르는 이후 “2.4.2 이전 버전의 취약점이 악용된 정황”이 있다며 밝혔습니다.

BTCPay의 업데이트(일요일 밤 11시 07분, 동부 표준시)에서는 공격 대상이 좁혀졌습니다. 조사 결과 7월 23일 또는 그 이전에 출시된 2.4.1 버전에서 실행 중인 인스턴스를 겨냥한 공격 벡터가 발견되었습니다.

해당 프로젝트는 10월 29일 출시된 2.4.7 버전 사용자들로부터 '신뢰할 수 있는 핫 월렛 유출 보고'가 없었다고 밝혔습니다. 운영자에게 소프트웨어를 최신 상태로 유지할 것을 권고했으며, 피해자들에게 보안 팀에 세부 정보와 로그를 제출해 줄 것을 요청했습니다.

일부 호스팅 제공업체는 구버전이 악용되는 것을 방지하기 위해 인스턴스를 자동으로 종료했을 수 있습니다. BTCPay는 LunaNode 및 기타 관련 기관들의 신속한 조치에 감사의 뜻을 전했습니다.

도리에르는 2.4.2 버전 출시 이후 최소 한 번 이상 업데이트한 운영자는 “당황할 이유가 없다”고 말했습니다. 또한 핫 월렛에 자산을 너무 많이 보관하지 않도록 경고하며, 자세한 내용은 추후 블로그 게시물을 통해 안내하겠다고 약속했습니다.

일요일의 자금 유출은 8월 자문위원회가 안전하다고 판정한 자금에까지 영향을 미쳤습니다.

BTCPay는 자체 호스팅 방식이기 때문에 상인의 서버를 변경하거나 종료할 수 없습니다. 핫 월렛 모드는 해당 서버에 저장된 시드로 결제를 서명하므로, 서버를 통제하는 사람이 코인을 이동시킬 수 있습니다.

2.4.2 라인은 8월에 시작되었습니다. BTCPay는 이미 공격받고 있던 치명적 취약점을 패치하기 위해 8월 7일 버전 2.4.2를 출시했으며, Cryptopolitan이 이를 보도했습니다.

2.4.2 릴리스 후보판을 포함한 모든 이전 릴리스에서는 인증되지 않은 공격자가 LND 마카룬 자격 증명을 탈취할 수 있었습니다. 공격자는 라이트닝 노드를 장악하여 해당 자금을 이동시킬 수 있었습니다.

파운데이션과 Citadel21이 자신의 라이트닝 노드에서 공격을 받았다고 보고했습니다. 스패로우 지갑(Sparrow Wallet) 개발자 크레이그 로우(Craig Raw) 역시 공격을 받았다고 밝혔습니다.

2.4.2 릴리스로 인해 LND의 마카룬이 자동으로 재생성되었습니다. 운영자가 자체 프록시, Tor 서비스 또는 포워딩 포트를 통해 LND를 노출한 경우, 이러한 자격 증명을 직접 변경해야 했습니다.

버전 2.4.2는 또한 8월 4일에 보고된 그린필드 API의 기본 인증을 통한 별도의 TOTP 2차 인증 우회 버그를 패치했습니다. BTCPay는 이 버그가 마카룬 해킹과 관련이 없다고 밝혔습니다.

BTCPay의 자문서에 따르면 핫 월렛을 포함한 자체 온체인 월렛은 해당 결함의 영향을 받지 않았습니다. 일요일 보고서는 핫 월렛이 털리고 있다고 전했습니다.

BTCPay나 도리에르는 공격자가 8월의 마카롱 버그를 이용했는지, 아니면 2.4.2 이전의 다른 취약점을 이용했는지 밝히지 않았습니다. 8월에는 후원자들이 반환된 자금의 10%, 최대 3 BTC에 해당하는 복구 보상금을 제시했습니다.

River는 비트코인 상점들의 평균 사용량이 2025년에 74% 증가했으며, 라이트닝 네트워크 거래량은 월간 10억 달러를 초과했다고 보고했습니다.