오픈 소스 암호화폐 결제 프로세서인 BTCPay Server 프로젝트 운영진은 구버전 소프트웨어를 실행 중인 서버와 연결된 '핫월렛(Hot Wallets)'을 노린 일련의 공격이 확인됨에 따라 사용자들에게 긴급 보안 경고를 발령했습니다.
보안 취약점 세부 정보
프로젝트 설립자인 니콜라스 도리에(Nicolas Dorier)는 조사 결과 2.4.2 이전 버전을 대상으로 하는 공격 벡터가 발견되었으며, 공격자들이 해당 서버의 관리자(Administrator) 권한을 획득할 수 있음을 확인했다고 밝혔습니다. 앞서 Anthropic사의 Frontier OSS 스캔 도구를 통해 치명적인 취약점이 발견되었으며, 이에 따라 팀은 긴급 보안 업데이트 2.4.7 버전을 출시했습니다.
운영진은 이번 공격이 공용 서버가 아닌 업데이트되지 않은 자체 호스팅 서버를 집중적으로 노렸다고 지적했습니다. 현재까지 2.4.7 버전으로 업그레이드한 사용자가 해킹 피해를 입었다는 보고는 없습니다.
사용자 대응 방안
프로젝트 측은 특히 2.4.1 이하 버전을 사용하는 사용자들에게 디지털 자산을 보호하기 위해 즉각적인 조치를 취할 것을 강조했습니다:
- 즉시 업데이트: 모든 운영자는 서버 설정(Server Settings → Maintenance → Update)을 통해 2.4.7 버전으로 업그레이드해야 합니다.
- 서버 중단: 업데이트가 완료될 때까지 예방 조치로 영향을 받는 서버를 즉시 중단할 것을 강력히 권고합니다.
- Docker 사용자: SSH를 통해 서버에 접속한 후 설치 디렉토리(btcpayserver-docker)로 이동하여 업데이트 명령(./btcpay-update.sh)을 실행하여 업데이트할 수 있습니다.
이 뉴스가 중요한 이유
이번 경고가 중요한 이유는 BTCPay Server가 자체 호스팅 결제 솔루션이기 때문입니다. 사용자는 중개자 없이 자신의 서버와 디지털 자산 보안에 대한 모든 책임을 집니다. 관리자 권한 취약점을 악용당할 경우 공격자가 결제 및 검증 프로세스를 완전히 통제할 수 있게 되어 가맹점과 사용자의 자금이 직접적인 위협을 받게 됩니다. 운영진은 피해를 입은 경우 보안 이메일(security@btcpayserver.org)로 사고 세부 정보를 보내고 현지 당국에 자금 손실을 신고할 것을 요청했습니다.