비트코인(BTC) AI 감사에서 85개 치명적 취약점 발견

비트코인 뉴스

비트코인(BTC) 생태계를 대상으로 한 자원봉사 보안 감사에서 390개 프로젝트에 걸쳐 85개의 치명적(critical) 취약점이 확인됐다. 'Bitcoin Red Team'이라 불리는 16명 규모의 개발자 그룹이 주도한 이번 감사는 자동화 AI 모델을 활용해 지갑, 암호화 라이브러리, 그리고 비트코인 네트워크에 연결된 각종 인프라를 스캔하는 방식으로 진행됐다. Cashu 프로토콜을 총괄하는 익명 개발자 Calle은 “상황이 극도로 심각하다”고 공개적으로 밝혔다. 팀이 제출한 보안 발견 사항은 총 4,962건에 달하며, 이 중 85건이 치명적 등급, 635건이 고위험(high severity) 등급으로 분류됐다. 이는 전체 발견의 상당 부분이 프로젝트 관리자의 즉각적인 대응을 요구한다는 의미다. 이번 감사가 주목받는 이유는 단일 애플리케이션 검토가 아니라, 비트코인 사용자·개발자·수탁자를 지원하는 수백 개의 리포지토리와 도구를 광범위하게 훑은 작업이기 때문이다. 발견된 취약점에는 개인키 처리 방식, 암호화 함수 구현, 지원 서비스와 네트워크 간 상호작용에 영향을 줄 수 있는 결함들이 포함된다. 또한 이번 감사는 암호화폐 보안 분야의 구조적 변화를 드러낸다. 자동화 도구가 인간 팀이 검증하고 우선순위를 매기고 수정할 수 있는 속도보다 훨씬 빠르게 결함을 찾아내면서, 특히 소수의 무급 관리자에게 의존하는 오픈소스 프로젝트에서는 보고 처리 자체가 병목이 되고 있다. 관련 개발자들은 이 프로세스가 아직 성숙 단계에 이르지 못했으며, 자동화 시스템의 첫 번째 버전이 이제 막 보고 흐름을 관리하기 시작했다고 인정했다. 비트코인 보유자에게 즉각적인 시사점은 기본 프로토콜 자체가 침해된 것이 아니라, 이를 둘러싼 도구 계층에 상당한 운영 리스크가 존재한다는 점이다. 이 구분은 중요하다. 대부분의 사용자가 합의 코드가 아닌 지갑, 라이브러리, 서드파티 인프라를 통해 네트워크와 상호작용하기 때문이다. AI 기반 감사가 보편화되면, 생태계는 더 강력한 접수 채널, 명확한 심각도 기준, 공개 전 더 빠른 조율 체계를 갖춰야 할 것이다.

같은 감사 과정은 또 다른 실질적 병목을 드러냈다. 자동화 탐지 결과가 오픈소스 관리자를 압도하는 속도 문제다. 시작 후 약 27시간 시점에서 자원봉사 그룹은 1인당 시간당 2.31건의 고위험 또는 치명적 등급 발견을 기록하고 있었으며, 코디네이터들은 자동화 도구가 개선됨에 따라 이 속도가 계속 상승 중이라고 밝혔다. 첫날이 끝날 무렵에는 약 5,000건의 보고서가 접수됐다. 팀은 갑작스러운 보고 폭주에 직면한 프로젝트 관리자들에게 사과를 전했으며, 실제 취약점과 노이즈를 구분하는 프로세스를 여전히 개선 중이라고 밝혔다. 코디네이터들은 신속한 공개가 불가피한 이유로, 다른 연구자나 악의적 행위자들이 동일한 결함을 독립적으로 발견할 수 있다는 점을 들었다. 자동화 시스템 구축을 담당하는 개발자 Rob Hamilton은 “가장 어려운 부분은 버그를 찾는 것이 아니라, 각 보고서를 올바른 관리자에게 안전하고 정확하게 전달하는 것”이라고 말했다. 그는 현재 아키텍처를 '첫 번째 버전'이라고 표현하며, 공개(disclosure) 운영이 아직 미성숙 단계임을 시사했다. 이번 보고 급증 자체가 하나의 사건이 된 이유는, 그 규모가 통상적인 보안 검토 워크플로우를 훨씬 초과하기 때문이다. 이 문제는 특히 Coldcard 사태 이후 더욱 민감한 사안이 됐다. 7월 30일 지갑 스윕으로 시작된 이 사건으로 약 1억 1,400만 달러 규모의 사용자 자금이 유출됐다. 해당 익스플로이트는 2021년부터 Coldcard 펌웨어에 존재해 온 결함에서 비롯된 것으로 보고됐으며, 장기간 잠복해 있던 코드 결함이 이후 직접적인 자산 손실로 이어질 수 있음을 보여준다. 해당 사례에서 공격자는 영향을 받는 개인키 생성 로직을 이해하면 물리적 장치를 소지하지 않고도 자산을 이동시킬 수 있었던 것으로 알려졌다. 이는 콜드월렛 기반 셀프 커스터디 도구와 사용자에 대한 기존 위협 모델을 확장시키는 것이다. AI 암호화폐 지갑 보안 논의 전반에 걸친 교훈은 탐지 능력이 대응 능력을 앞지를 수 있다는 점이다. 비트코인 개발자 커뮤니티는 이제 기술적 문제만큼이나 조율 문제에 직면해 있다. 수천 건의 기계 생성 발견을 어떻게 분류하고, 민감한 취약점 세부 정보를 보호하며, 관리자에게 패치에 충분한 정보를 제공하면서도 사용자를 조기 공개 위험에 노출시키지 않을 것인가의 문제다.

COINOTAG의 분석에 따르면, 이번 비트코인 감사와 Coldcard 사태 이후의 상황은 하나의 주제를 가리킨다. 보안 리스크의 중심이 '발견'에서 '거버넌스'로 이동하고 있다는 것이다. 핵심 근거는 코디네이터들이 공개한 자체 집계다. 약 하루 만에 390개 프로젝트에서 4,962건의 발견이 접수됐으며, 이는 도구 계층에 존재하는 미패치 노출의 규모를 보여준다. 시장은 이를 합의 실패가 아닌 운영적 경고로 받아들여야 한다. 관리자들이 공개 보고를 신속하게 처리하지 못하면 취약점이 예상보다 오래 악용 가능한 상태로 남을 수 있다. 이는 비트코인만의 문제가 아니다. 모든 알트코인이 유사한 암호화 코드 경로에 의존하고 있으며, 장기화된 보안 사고는 취약한 약세장 국면에서 시장 심리를 더욱 악화시킬 수 있다.