코어 라이트닝이 경고를 발령한 가운데, 비트코인 라이트닝 노드들이 표적이 되고 있다

공격자들이 패치되지 않은 노드를 표적으로 삼자 Core Lightning이 경고를 발령

Core Lightning은 여전히 구버전 소프트웨어를 사용 중인 모든 사용자에게 꽤 간단한 메시지를 전합니다. 바로 ‘지금 당장 업그레이드하라’는 것입니다. 10월 1일, 비트코인 라이트닝 네트워크 노드 구현체인 Core Lightning은 공격자들이 버전 26.06.7 이하를 실행 중인 노드를 표적으로 삼고 있다고 경고하며, 9월 22일에 출시된 패치를 시급한 보안 문제로 전환시켰습니다.

공격자들이 정확히 어떤 취약점을 악용하고 있는지는 아직 밝혀지지 않았습니다. 이 프로젝트 측은 공격이 성공했거나 자금이 도난당했다는 사실을 확인하지는 않았으나, 버전 26.06.8은 서비스 거부(DoS) 문제부터 자금을 위험에 빠뜨릴 수 있는 채널 종료 결함에 이르기까지 다양한 취약점을 패치했습니다.

경고보다 먼저 배포된 패치

Elements 프로젝트 산하에서 유지 관리되는 Core Lightning은 패치가 적용되지 않은 노드를 표적으로 삼는 공격자들에 대한 보고를 받은 후, 노드 운영자들에게 “가능한 한 빨리” 최신 버전으로 업데이트할 것을 요청했습니다. 암호화폐 기업 블록스트림(Blockstream)은 이 경고를 재차 강조하며, 여전히 구버전을 실행 중인 운영자들에게 26.06.8을 설치할 것을 촉구했습니다.

흥미로운 점은 시기입니다. 버전 26.06.8은 공격 경고가 나오기 약 10일 전인 9월 22일에 출시되었으며, 유지보수 담당자들은 이미 업그레이드를 강력히 권장하고 있습니다. 운영자들이 패치를 적용할 시간을 벌 수 있도록, 잠재적 공격자들이 근본적인 취약점을 리버스 엔지니어링하기 어렵게 만들기 위해 일부 테스트 결과는 의도적으로 공개되지 않았습니다. 그러자 상황이 급박해졌습니다. 이번 릴리스에 대한 공개 설명에 따르면 세 가지 유형의 버그가 지적되었습니다. 하나는 발신자의 노드를 다운시킬 수 있는 버그이고, 다른 하나는 Core Lightning의 REST 인터페이스를 통해 메모리를 고갈시킬 수 있는 버그입니다. 가장 심각한 버그는 채널 종료와 관련되어 있으며, 오작동하는 페널티 메커니즘으로 인해 사용자에게 자금 손실을 초래할 가능성이 있습니다.

채널 종료를 예상치 못한 방향으로 진행될 때

게다가 라이트닝 네트워크의 처벌 시스템은, 피어가 유효하지 않은 채널 상태를 브로드캐스팅하여 부정행위를 할 경우 정직한 참여자가 벌금을 청구할 수 있도록 설계되어 있습니다. 26.06 버전의 결함으로 인해 Core Lightning이 특정 거래를 일반적인 협력적 종료로 오인하고, 그 이면에 숨겨진 취소된 약정을 놓칠 수 있습니다.

이러한 시나리오에서 부정 행위자를 적발하기 위한 소프트웨어가 제때 작동하지 못해 본래 몰수되었어야 할 자금이 상대방에게 남게 될 수 있습니다. 프로젝트 측은 공격자들이 해당 특정 결함, 크래시 취약점, REST 문제, 혹은 세부 사항이 부분적으로 공개되지 않은 다른 문제를 악용하고 있는지 여부에 대해서는 밝히지 않았습니다. 이러한 구분은 중요합니다. 이는 비트코인 자체의 취약점이 아닙니다. 이는 비트코인을 기반으로 구축된 확장성 네트워크인 라이트닝 네트워크(Lightning Network)의 구현체 중 하나인 코어 라이트닝(Core Lightning)에 영향을 미칩니다. LND, Eclair, LDK는 해당 권고문에 명시되지 않았으며, 일반 지갑 사용자들은 반드시 코어 라이트닝 노드를 실행하는 것은 아닙니다. 이들의 노출 여부는 지갑 뒤에 있는 인프라에 따라 달라집니다.

8월에 시작된 보안 대응 사이클

목요일의 경고는 갑자기 나온 것이 아닙니다. 8월 26일, 코어 라이트닝은 AI가 생성한 방대한 양의 취약점 보고서를 검토 중이라고 밝혔습니다. 그중 몇 건은 실제 취약점으로 판명되어, 이에 대한 공동 대응 조치가 이루어졌습니다.

운영자들에게는 단순히 전원을 끄지 말라고 안내했다. 대신 코어 라이트닝은 –offline 옵션을 사용하여 재시작할 것을 권장했는데, 이 옵션은 피어 연결을 끊으면서도 데몬이 블록체인을 계속 모니터링하고 강제 종료에 대응할 수 있도록 한다. 전원이 꺼진 노드는 이러한 작업을 수행할 수 없다. 8월 28일경 버전 26.06.7이 출시되었으나, 9월 15일에는 자금에 영향을 미칠 수 있는 실험적 기능과 관련된 또 다른 조사가 시작되었다. 6일 후 26.06.8이 출시되었다. 그로부터 약 10일 후, 적극적인 표적 공격에 대한 보고가 접수되었다.

온라인 화폐는 패치 방식을 달리하게 한다

라이트닝 노드는 서랍 속에서 먼지만 쌓여가는 콜드 월렛이 아닙니다. 노드는 실시간으로 결제를 처리해야 하므로 채널 키가 항상 온라인 상태로 유지됩니다. 이로 인해 구버전 소프트웨어는 단순히 가동 시간에 대한 골칫거리 그 이상입니다. 자금이 공격자가 뚫으려고 시도하는 시스템 내에 직접 보관되어 있을 수 있기 때문입니다.

공개된 피해 집계는 없으며, Core Lightning 측도 공격이 성공했다고 밝히지 않았습니다. 현재로서는 26.06.7 또는 그 이전 버전을 여전히 실행 중인 모든 노드가 프로젝트 측이 공격자의 표적이라고 지목한 그룹에 속해 있습니다. 운영자들에게는 26.06.8 이상 버전을 설치하고, 서명이나 Docker 다이제스트를 확인하며, 위험을 충분히 이해하지 못하는 한 실험적 기능을 비활성화 상태로 유지할 것을 권고하고 있습니다.

이 패치는 며칠 전부터 공개되어 있었습니다. 이제 누군가가 아직 패치를 설치하지 않은 노드들을 노리고 있는 것으로 보입니다. 한편, 많은 이들은 AI를 활용한 탐지를 통해 암호화폐 업계에서 앞으로 얼마나 더 많은 버그가 발견될지 궁금해하고 있습니다.