BTCPay 후원자들, 라이트닝 지갑 익스플로잇 이후 최대 3 BTC 보상금 제시

핵심 포인트

BTCPay Server 후원자들은 회수된 자금의 10%에 해당하는 복구 보상금을 약정했다. 전액 회수 시 보상금은 최대 3 BTC다. BTCPay Server는 공격자들이 영향을 받은 인스턴스에서 LND 관리자 마카롱 자격 증명을 탈취해 연결된 LND 지갑에 접근할 수 있었다고 밝혔다. BTCPay Server는 취약점을 수정한 버전 2.4.2를 출시했다. BTCPay Server는 핫월렛을 포함한 온체인 지갑은 영향을 받지 않았다고 밝혔다. BTCPay Server는 도난당한 총액이나 영향을 받은 노드 수를 공개하지 않았다.

왜 중요한가: 탈취된 지갑 자격 증명은 영향을 받은 운영자가 시스템을 업데이트하고 복구 작업을 통해 사건의 범위를 명확히 할 때까지 직접적인 손실 위험을 만들 수 있다.

시장 심리

신중한 약세, 기술 주도, 위험 축소.

이유: 이번 익스플로잇으로 공격자들이 연결된 LND 지갑에 접근할 수 있었다.

유사 과거 사례

2023년 6월, Atomic Wallet 사용자들은 무단 인출로 사용자 지갑이 영향을 받은 이후 3,500만 달러가 넘는 암호화폐가 도난당했다고 신고했다. 조사관들이 원인과 범위를 파악하는 동안, 이 사건은 지갑 보안 실패가 사용자 신뢰를 훼손할 수 있음을 보여줬다. (Fortune) Atomic Wallet 사건은 여러 자산을 지원하는 더 광범위한 지갑 서비스와 관련됐지만, BTCPay Server는 자사의 온체인 지갑은 영향을 받지 않았다고 밝혔다.

파급 효과

탈취된 LND 자격 증명은 영향을 받은 운영자가 업데이트를 지연하거나 추가 손실을 공개할 경우 라이트닝 결제 인프라에 대한 신뢰를 떨어뜨릴 수 있다. 추가로 영향을 받은 인스턴스가 확인되면 결제 서비스 운영자들은 보안 검토를 강화하고 노출된 지갑 접근을 제한할 수 있다.

기회와 리스크

기회: BTCPay Server가 사후 분석 결과를 공개하면, 사용자는 복구 절차가 사건을 제한적인 범위의 사건으로 규정하는지 평가할 수 있다. 복구 절차가 확인되면 영향을 받은 라이트닝 지갑을 둘러싼 불확실성이 줄어들 수 있다.

리스크: BTCPay Server가 영향을 받은 노드를 추가로 확인할 경우, 사용자는 이번 업데이트를 서버 버전과 지갑 접근 통제 상태를 점검해야 한다는 신호로 받아들일 수 있다. 업데이트가 지연되면 노출된 LND 지갑 자격 증명이 추가 오용에 취약한 상태로 남을 수 있다.