코인베이스·비트고 "PHP 취약점 영향 없다"…바이낸스 CZ "주의 필요"

바이낸스의 공동 창립자 창펑 자오(CZ)는 “제가 지나치게 경계심이 많다고 생각할 수도 있겠지만, 일부 웹 관리자들이 보안 패치를 항상 최신 상태로 유지하지는 않기 때문에 앞으로 며칠 동안 어떤 웹사이트를 방문하든 각별히 주의하시기 바랍니다”라고 경고하며, 영향을 받은 웹사이트가 “인증 정보 도용이나 기기 악용의 통로가 될 수 있다”고 덧붙였습니다. 바이낸스 측은 “공식 패치 출시 전에 선제적인 안전 조치를 시행했으며, 필요한 수정 작업을 완료했다”고 밝혔다.

업데이트하거나 오프라인으로 전환하세요

W3Techs에 따르면 PHP는 서버 측 언어가 확인된 웹사이트의 약 70%에서 사용되는 프로그래밍 언어입니다. CERT-EU는 이 취약점으로 인해 공격자가 로그인하지 않고도 서버에서 자체 코드를 실행할 수 있다고 경고했습니다. PHP 개발팀은 10월 21일 수정 패치를 공개했습니다. 그러나 각 웹사이트 관리자가 직접 설치해야 하므로, 패치를 적용하지 않은 사이트는 잠재적인 위험에 노출될 수 있습니다. 미국 국가안보국(NSA)은 “즉각적인 업데이트가 불가능한 경우, 문제가 완전히 해결될 때까지 시스템을 오프라인 상태로 전환할 것을 권장한다”고 경고했습니다.

'수백만 건'의 공격 시도

현재까지 소수의 주요 암호화폐 업체들만이 이 문제를 공개적으로 언급했다. 팬케이크스왑(Pancakeswap)과 비트겟 월렛(Bitget Wallet)을 비롯한 일부 업체는 PHP를 사용하지 않는다고 밝혔으며, 카이아 체인(Kaia Chain)은 PHP가 자사의 핵심 스택에 포함되지 않는다고 전했다. 코인베이스(Coinbase)와 비트고(Bitgo)는 해당 취약점에 노출된 흔적을 발견하지 못했다고 밝혔다.

“추가적인 보안을 위해 제3자 공급업체들과도 협력하고 있습니다,”라고 코인베이스의 최고 보안 책임자(CSO) 제프 룽글호퍼(Jeff Lunglhofer)는 X를 통해 밝혔다. 현재까지 암호화폐 기업을 대상으로 한 공격이나 사용자 자금 손실은 보고되지 않았으나, 공격자들의 활동은 점점 더 활발해지고 있다. ““이 취약점이 공개적으로 발표되기 전 10시간 동안, @Cloudflare 네트워크 전반에서 이를 악용하려는 수천 건의 시도가 포착되었습니다. 발표 후 45분 만에 그 수는 수만 건으로 급증했고, 2시간 이내에는 수십만 건, 현재는 수백만 건에 달합니다,”라고 주요 클라우드 서비스 제공업체인 클라우드플레어(Cloudflare)의 CEO 매튜 프린스(Matthew Prince)는 말했습니다.

이전 공격 시도와 소규모 업체의 문제

기업이 10월 21일에 PHP 취약점에 대한 패치를 적용했다고 해도, 공격자들이 그 이전에 이를 악용하지 않았다는 의미는 아닙니다. 예를 들어, 아마존은 10월 17일로 거슬러 올라가는 PHP2Shell 악용 시도를 발견했습니다.

“하지만 보안 담당자들은 공개일이 바로 악용이 시작된 가장 이른 시점이라고 가정해서는 안 됩니다,”라고 아마존 통합 보안(Amazon Integrated Security)의 최고정보보안책임자(CISO) CJ 모세스가 경고했다. 비트코인 및 기타 암호화폐 자산을 결제 수단으로 받는 상인을 포함한 소규모 암호화폐 자산 서비스 업체들은 또 다른 문제에 직면해 있다. 바로 패치를 늦게 적용하거나 아예 적용하지 않을 수 있다는 점이다. 대기업들은 전담 보안 팀을 보유하고 있는 반면, 워드프레스 플러그인을 통해 비트코인(BTC)을 결제 수단으로 받는 소규모 업체는 자체 자원이나 웹 호스팅 업체에 의존하여 PHP 패치를 적용해야 할 수도 있습니다. 널리 사용되는 오픈소스 비트코인 결제 처리기인 BTCPay Server는 PHP 자체에서 실행되지는 않지만, 워드프레스 상점을 위한 우커머스(WooCommerce) 플러그인은 PHP를 기반으로 합니다.

미국 사이버보안 및 인프라 보안국(CISA) 또한 조직들에게 패치를 적용하거나 업데이트할 수 있을 때까지 PHP 기반 시스템을 오프라인 상태로 전환할 것을 권고했습니다.

eMudhra 문제 및 Lightning Labs 경고

한편, 비트코인 및 암호화폐 업계는 인도의 디지털 인증 기관인 eMudhra와 관련된 또 다른 취약점을 처리하고 있습니다. 연구원들은 eMudhra의 중간 인증서 8개에 대한 개인 키가 극도로 취약하다는 사실을 발견했습니다. 사용자가 HTTPS를 통해 웹사이트를 방문하면, 소프트웨어는 해당 사이트의 신원을 확인하기 위해 디지털 인증서를 검사합니다. 이러한 취약한 키 중 하나를 이용하면 공격자가 거래소 웹사이트를 위한 가짜 인증서를 생성할 수 있습니다. 브라우저들은 이미 이러한 인증서를 차단하기 시작했습니다. 그러나 트레이딩 봇이나 자체 인증서 목록을 사용하는 앱과 같은 다른 소프트웨어는 이를 차단하지 않을 수 있습니다. 사용자는 해당 소프트웨어가 영향을 받은 인증서를 거부하도록 업데이트해야 합니다.

라이트닝 랩스(Lightning Labs)의 최고기술책임자(CTO)인 올라올루와 오순토쿤(Olaoluwa Osuntokun)은 eMudhra 취약점이 발견된 직후, 자사의 비트코인 및 라이트닝 네트워크 소프트웨어 사용자들에게 즉시 업데이트할 것을 촉구했습니다.

경계를 늦추지 마세요

사용자는 방문하는 웹사이트의 서버에 직접 패치를 적용할 수는 없지만, 예방 조치를 취할 수는 있습니다. 즐겨찾기에 추가된 공식 웹사이트를 이용하고 “긴급 업데이트” 메시지는 무시해야 합니다. 언제나 그렇듯이, 비트코인이나 기타 암호화폐 자산이 어디로 전송되는지 다시 한 번 확인하는 것이 특히 중요합니다. 하드웨어 지갑은 자금이 전송되는 주소를 표시해 주지만, 해킹당한 웹사이트가 잘못된 주소를 표시했는지 여부는 알 수 없습니다. 사용자는 거래소 앱이나 저장된 주소와 같은 다른 출처를 통해 수신 주소를 확인해야 합니다.

BTCPay Server의 창립자인 니콜라스 도리에(Nicolas Dorier)는 “개발자 일을 그만두고 목공으로 전향할 생각입니다. 그게 더 안전하니까요. 사람들이 모든 문제를 해결하면 다시 전화해 주세요”라고 농담을 던졌습니다.