BTCPay, 지갑 탈취 신고 조사 중 사용자들에 서버 종료 촉구

BTCPay Server는 무단 공격자들이 핫월렛을 비웠다는 신고를 받은 뒤 일요일 사용자들에게 서버를 중단하라고 촉구했다. BTCPay는 조사가 끝날 때까지 모든 서버 운영자에게 소프트웨어를 중단한 상태로 유지해 달라고 요청했다. 서버 종료 명령어는 ./btcpay-down.sh다. BTCPay는 피해 금액이나 영향을 받은 서버 수를 공개하지 않았다. 최초 경보에는 소프트웨어 버전이 명시되지 않았고, 해결책도 제시되지 않았으며, 모든 버전에 적용됐다.

창립자 니콜라 도리에는 약 2시간 뒤 업데이트를 전했다. 도리에는 신고된 탈취 사건이 BTCPay Server 2.4.2 이전 버전에 영향을 미친 것으로 보인다고 말했다. 도리에는 2.4.7 버전으로 운영되는 프로젝트의 공개 서버는 공격받지 않았다고 밝혔다. 이후 버전이 안전한지는 말하지 않았다. 도리에는 또 공격자가 최상위 접근 권한을 제공하는 관리자 계정을 통해 영향을 받은 서버에 로그인했다고 말했다. 팀은 공격자가 어떻게 그 접근 권한을 얻었는지 아직 모른다.

BTCPay Server는 기업이 자체 호스팅해 비트코인 결제를 받을 수 있도록 제공하는 무료 오픈소스 소프트웨어다. 기업은 중개자나 제3자 수탁업체 없이 기업이 통제하는 지갑으로 결제를 받는다. BTCPay는 인터넷에 계속 연결된 핫월렛을 지원한다. 각 가맹점의 핫월렛은 시드 문구를 가맹점 서버에 저장하며, 이 서버는 코인을 전송하는 데 필요한 비밀 정보를 보유하게 된다. 지갑은 시드 문구 없이도 결제를 받을 수 있다.

BTCPay 문서에 따르면 소프트웨어는 서버에 보관된 시드 문구를 사용해 결제를 자동으로 서명하고 승인한다. 따라서 가맹점이 다른 기기를 통해 송금을 승인하지 않아도 서버가 코인을 전송할 수 있다. 서버에 접근한 침입자도 코인을 자신이 통제하는 주소로 전송할 수 있다. BTCPay 문서는 이 기능에 "위험"이라고 표시하고 보안상 영향을 경고한다.

각 가맹점은 별도의 사설 서버에서 소프트웨어를 운영하며 해당 인프라를 보호할 책임을 진다. BTCPay는 서버를 중앙에서 중단할 수 없기 때문에 개별 운영자들에게 종료를 요청해야 했다. 지갑을 비우거나 스윕한다는 것은 한 번의 작업으로 코인을 다른 곳으로 전송하는 것을 뜻한다.

BTCPay는 8월에 2.4.2 이전 버전의 취약점을 악용한 공격자들이 자금을 탈취했다고 확인했다. 이 취약점으로 외부인이 LND 인증 정보 파일을 얻을 수 있었다. LND는 비트코인 기반의 더 빠른 결제 네트워크인 라이트닝에서 노드를 운영하는 소프트웨어다. 해당 인증 정보가 있으면 공격자가 노드를 통제하고 노드의 자금을 전송할 수 있었다. BTCPay는 2.4.2 버전에서 해당 취약점을 수정했다.

이번 최신 경보는 목요일 바이낸스 해킹에 뒤이어 나왔다. 해킹 당시 공격자는 암호화폐 60억 달러 이상을 빼냈다. 바이낸스 해킹은 암호화폐 업계 역사상 최대 규모의 익스플로잇이었다.