공격자들, 구형 BTCPay Server 인스턴스 핫월렛 자금 탈취

공격자들은 구형 BTCPay Server 인스턴스의 관리자 권한을 얻어 서버의 핫월렛을 비웠다. 소프트웨어를 업데이트하지 않은 운영자들이 피해를 입었다. BTCPay Server 팀은 전체 피해 규모를 공개하지 않았다.

팀은 11월 1일 늦게 첫 경고를 내고 조사관들이 조사를 마칠 때까지 모든 운영자에게 인스턴스 가동을 중단하라고 권고했다. 이후 팀은 버전 2.4.1과 이전 버전이 공격 경로의 표적이었다고 확인했다. 버전 2.4.1은 2026년 7월 23일 출시됐다. 팀은 현재 버전인 2.4.7에서 지갑 자금이 빠져나갔다는 신뢰할 만한 보고는 없다고 밝혔다.

창립자 니콜라 도리에는 공격자가 피해 서버에 관리자 권한으로 접근했다고 말했다. 도리에는 공격자가 어떻게 그 권한을 얻었는지 팀이 확인하지 못했다고 밝혔다. 조사관들은 지금까지 버전 2.4.2 이전부터 존재한 취약점의 징후를 발견했다. 이번 절도는 2.4.2 이전 버전을 실행하는 BTCPay Server 인스턴스에서 3개월 사이 발생한 최소 두 번째 유사 사건이다. 버전 2.4.2는 원격 공격자가 라이트닝 노드 자격 증명을 얻고 연결된 지갑을 비울 수 있게 한 중대한 취약점을 8월에 수정했다. 패치가 배포됐을 때 공격자들은 이미 해당 취약점을 악용하고 있었다.

BTCPay Server는 가맹점이 자체 호스팅하는 인프라에서 비트코인 결제를 받을 수 있도록 무료 오픈소스 소프트웨어를 제공한다. 핫월렛을 설정한 서버는 개인 키를 보유하며 운영자가 모든 거래에 서명하지 않아도 자금을 보낼 수 있다. 따라서 관리자 권한이 있으면 서버의 코인을 다른 곳으로 전송할 수 있다.

팀은 루나노드와 다른 호스팅 업체들이 구형 버전을 겨냥한 공격을 막기 위해 고객 인스턴스의 가동을 자동으로 중단했을 수 있다고 밝혔다. 도리에는 핫월렛을 둔 버전 2.4.7을 운영하고 있다. 그러나 도리에는 어떤 서버에도 상당한 금액을 보관하지 말라고 주의를 당부했다. 도리에는 핫월렛 사용자들에게 잃어도 감당할 수 있는 금액만 보유하라고 권고했으며, 팀은 또 다른 사건이 발생하지 않을 것이라고 보장할 수 없다고 말했다.

이번 절도는 사용자가 직접 호스팅하는 비트코인 인프라 전반에 영향을 미치는 더 큰 문제를 보여 준다. 코어 라이트닝도 최근 업데이트되지 않은 노드를 노리는 공격자들에 대해 경고했다. 두 사건 모두 절도 전에 패치가 제공됐으며, 업데이트하지 않은 운영자들이 취약점으로 남았다.