비트코인 코어, 보안 패치 속도 높여… 조사 대상 피어 43.6%는 지원 종료 버전 사용

비트코인 코어는 10월 22일 정책 개정안을 채택해 개발자들이 쉽게 발견할 수 있는 취약점에 대한 수정 사항을 유지보수 중인 모든 릴리스 계열에 배포할 수 있도록 했다. 개발자들은 결함을 얼마나 쉽게 발견하거나 다시 찾아낼 수 있는지를 기준으로 분류할 수 있으며, 여기에는 대규모 언어 모델을 통한 발견 가능성도 포함된다. 수정 사항은 포인트 릴리스 형태로 유지보수 중인 주요 버전에 적용되며 공개 보안 권고문도 함께 발표된다. 새 범주에 속하지 않는 취약점에는 기존 심각도별 공개 일정이 적용된다.

기존 정책은 영향을 받는 마지막 릴리스 계열의 지원이 종료된 뒤 2주가 지나기 전까지 중·고위험 취약점의 세부 내용을 공개하지 않았다. 이 일정에 따르면 수정과 공개 사이에 약 1년의 간격이 생길 수 있었다. 공개 백포트는 취약점을 노출할 수 있어 장기간의 공개 유예가 백포트를 꺼리게 하는 요인이 되기도 했다. 앙투안 푸앙소는 10월 22일 발표문에서 AI 시스템이 다시 찾아낼 수 있는 버그에는 이 방식이 적절하지 않다고 주장했다. 푸앙소는 10월 20일 논의에서 개발 브랜치의 완화 조치가 검증받을 시간이 줄어들 것이라고 인정했다.

10월 23일 기준으로 새 분류가 적용된 사례는 공개적으로 확인되지 않았다. 비트코인 레드팀의 캠페인을 포함한 AI 지원 활동에서 잠재적 발견 사례가 다수 나오고 있다.

카를스루에 공과대학교의 네트워크 모니터는 10월 18일 자체 보고한 비트코인 코어 피어 8,422개 가운데 지원되지 않는 피어 3,671개를 기록했다. 비율은 43.6%였다. 비트코인 코어는 현재 최신 주요 릴리스 계열 3개인 29.x, 30.x, 31.x를 지원한다. 스냅샷에서 31.x를 사용하는 피어는 3,243개, 30.x는 712개, 29.x는 635개였다. 지원되지 않는 피어는 28.x 이하 버전을 사용했다. 버전 29.x는 32.0이 정식 출시되면 지원이 종료된다. 표본이 변하지 않는다면 그때 지원되지 않는 피어는 8,422개 중 4,306개로 늘어 51.1%가 된다.

표본은 연결된 공개 피어로 구성됐으며, 연결된 IPv4·IPv6 피어 9,691개 가운데 비트코인 코어 피어 8,422개가 포함됐다. 측정에는 Tor만 사용하는 노드, 수신 연결을 받지 않는 노드, 거래소·수탁업체·채굴업체가 운영하는 사설 인프라는 포함되지 않았다. 피어는 소프트웨어 버전을 자체 보고하며, 비트코인 놋츠와 다른 구현체는 별도로 집계된다. 수치는 유지보수 대상 여부를 측정한 것으로 침해 여부를 나타내지 않으며, 지원되지 않는 노드도 블록을 올바르게 검증할 수 있다. 크립토티커가 앞서 제시한 60.4% 추정치는 유지보수 일정이 별도인 놋츠 노드 4,459개를 포함한 다른 모집단을 대상으로 했다. 지원되는 주요 릴리스라도 운영자가 최신 포인트 릴리스를 설치하지 않았다면 보안 수정 사항이 적용되지 않았을 수 있다.

운영자는 업그레이드 여부를 선택하며, 업그레이드에는 운영상 작업이 필요하다. 코어 32는 부분 서명 비트코인 거래의 기본 형식을 버전 0에서 버전 2로 바꾼다. 한 사용자는 10월 14일 새 그래픽 지갑에서 만든 파일을 멀티시그 구성의 구형 코어 공동 서명자가 가져올 수 없다고 보고했다. 수정은 32.1로 미뤄졌다. RPC 사용자는 이전 형식을 요청할 수 있다. 서명자, 지갑 애플리케이션, 통제 절차를 조율하는 조직은 배포에 앞서 업그레이드를 시험할 필요가 있다.

CVE-2024-52911은 0.14.0 초과, 29.0 미만 버전에 영향을 미치는 블록 검증의 고위험 메모리 해제 후 사용(use-after-free) 취약점이었다. 조작된 무효 블록으로 노드를 충돌시킬 수 있었다. 공격에는 충분한 작업증명을 갖춘 블록을 채굴해야 했으므로 저렴한 네트워크 메시지 공격보다 비용이 훨씬 많이 들었다. 개발자들은 2024년 11월 취약점 제보를 받았고 2025년 4월 버전 29.0에서 결함을 수정했다. 영향을 받은 마지막 유지보수 대상 릴리스의 지원이 종료된 뒤인 2026년 5월 5일, 개발자들은 수정 후 약 388일이 지나 세부 내용을 공개했다.

코어 32.0의 릴리스 노트는 버전 30.0에서 수정된 중·고위험 취약점 3건의 공개를 32.0 출시 후 2주로 예정하고 있다. 버전 30.0은 2025년 10월 출시됐으며, 이 예정된 공개는 기존 공개 유예 방식의 사례다. 다운로드 디렉터리에는 10월 24일 기준 릴리스 후보 버전이 표시돼 있었고, 릴리스 주기 페이지에는 32.0의 출시일이 미정으로 기재돼 있었다. 비트코인 코어의 심각도 체계에서 치명적 취약점은 무단 발행이나 지속적인 체인 분할과 같은 문제에 해당한다. 이번 개정은 보안 공조 방식을 바꾸지만 합의 규칙은 변경하지 않는다.

더 빠른 수정도 운영자가 업데이트를 설치해야 노드를 보호할 수 있다. 32.0 출시 후 동일한 네트워크 표본을 모니터링하면서 표본의 변화와 업그레이드를 구분하면 운영자들이 지원되는 릴리스로 이동하는지 확인할 수 있다.