Bitcoin(BTC) Core, 블록 생성 중단 가능한 CVE-2025-62861 취약점 공개

Bitcoin Core, CVE-2025-62861 취약점 공개

Bitcoin (BTC) Core 개발팀은 11월 10일, 영향을 받는 노드가 새 블록을 생성하지 못할 수 있는 고심각도 결함 CVE-2025-62861을 공개했다. 권고문에 따르면 이 결함은 체인 재편성, 즉 네트워크가 최근 추가된 블록을 교체하는 일상적 이벤트가 발생할 때 나타났고, 미확인 거래를 보관하는 노드의 임시 저장소인 멤풀을 손상시켰다. 영향을 받은 버전은 Bitcoin Core의 28.0부터 28.2까지와 29.0부터 29.1까지다. 프로젝트는 이 문제가 코인 자체를 직접 위협하기보다 해당 소프트웨어의 블록 생성을 깨뜨린다고 보고해 고심각도로 분류했다. Bitcoin(BTC) 네트워크의 블록체인 합의 규칙은 끝까지 안전했고, 결함의 위치는 취약한 노드가 자체 거래 풀을 다루는 방식 안에 있었다.

결함의 핵심에는 버전 28.0에서 도입된 형제 제거(sibling eviction) 규칙이 있다. 이 규칙은 TRUC 거래(확정 전 토폴로지 제한 거래)를 다루는 것으로, 최신 릴레이 정책상 하나의 거래에는 미확인 자식 거래를 하나만 둘 수 있다. 규칙에 따라 더 높은 수수료를 지불하는 두 번째 자식 거래가 첫 번째를 대체할 수 있어, 발신자가 낡은 결제를 더 높은 대가로 밀어낼 수 있다. 문제는 노드가 재편성 과정에서 끊긴 블록에서 거래를 복원할 때 터졌다. 노드가 복원된 거래는 내려놓으면서 그 자손들은 유지하면, 이미 존재하지 않는 자금을 쓰는 잔여 자식 거래가 남게 된다.

블록 템플릿은 노드가 채굴자에게 넘겨줄 후보 블록이다. 멤풀이 일관성을 잃는 순간 템플릿 생성은 유효성 검사를 통과하지 못하고, 노드는 더 이상 블록을 만들지 못한다. 영향을 받은 노드는 자체 안전 점검에 의해 스스로 멈췄고, 이 결함이 무효 블록이 아니라 정지로 이어진 이유가 여기에 있다. 유일한 처방은 재시작이었고, 재시작은 노드가 멤풀을 처음부터 다시 만들도록 강제한다. 노출의 중심은 암호화폐 채굴에 참여하면서 풀 노드를 운영해 템플릿을 조립하는 채굴자와 풀 운영자였다. 채굴 사업자에게 정지란 소프트웨어가 패치되거나 재시작될 때까지 해시파워가 놀고 있는 상태를 뜻한다.

Bitcoin (BTC) Core 프로젝트의 11월 10일 X 공개 글

패치는 2025년 10월에 배포됐다

보안 연구원 Niklas Goegge는 2025년 9월 26일 이 결함을 책임 있는 방식으로 보고했고, 세부 사항이 공개되기 전 유지보수진은 패치를마저 넣을 시간을 1년 이상 확보했다. 개발자 Greg Sanders가 풀 리퀘스트 33504로 패치를 제출했다. 패치가 반영된 릴리스는 2025년 10월에 30.0, 29.2, 28.3 버전으로 이어졌고, 공개 글은 수정 사항이 2025년 10월 10일 Bitcoin Core v30.0에 반영됐다고 밝힌다. 30.0 버전과 두 개의 백포트 패치 버전을 쓰는 노드는 영향을 받지 않는다. 권고문 자체는 11월 10일, 즉 29.x 계열의 마지막 취약 릴리스가 수명이 끝나 프로젝트가 더 이상 해당 계열 업데이트를 내지 않게 된 뒤에야 나왔다. 이런 지연은 대부분의 노드가 취약점 세부 내용이 퍼지기 전에 업그레이드하도록 하는 조율된 공개 관행이다.

같은 공개 묶음에는 30.0에서 수정된 결함이 두 개 더 실렸다. 하나는 블록 처리를 아예 정지시킬 수 있는 문제였고, 다른 하나는 권한이 없어야 할 인바운드 Tor 연결에 권한을 줄 수 있었던 문제였다. 이번 11월 공개에 앞서 10월에도 세 개의 결함이 한 묶음으로 공개됐는데, 이는 Project Loupe라는 이름의 AI 기반 스캐너가 잡아낸 것들이다. 약 6주 안에 두 차례의 공개, 모두 여섯 개의 결함이다. 프로젝트 보안 검증진에게 바쁜 구간이었다.

28.0부터 29.1 사이 어떤 버전이든 운영 중인 운영자는 즉시 업그레이드해야 하며, 그때까지 영향을 받은 노드는 재시작만으로 멤풀을 깨끗한 상태로 되돌릴 수 있다. 처음 노드를 세우려는 독자에게는 단계별 설치 과정을 담은 Bitcoin 노드 운영 가이드가 참고가 된다. 코어 측 작업은 이번 패치를 넘어 이어진다. 최근 논의된 OP_CCV 풀 리퀘스트는 베이스 레이어에 상태 저장 계약을 구현하는 것을 겨냥하고, COINOTAG의 Bitcoin 취재는 그 흐름을 계속 추적한다.

실질적 의미는 심각도 라벨이 암시하는 것보다 좁다. 권고문이 묘사하는 실패 양상은 스스로 발생한 자체 오류지 관측된 공격이 아니다. 공개 내용 어디에도 공격자가 멤풀 손상을 일으켰다는 주장이 없고, 체인 분리나 도난 자금 보고도 없다. 방어적으로 읽을 수 있는 부분은 운영 영역이다. 낡은 소프트웨어를 돌리는 채굴 풀은 다운타임을 감수하는데, 그 비용은 잃어버린 코인이 아니라 놓친 블록 보상으로 귀결된다. 다만 공개 자료에는 영향을 받은 버전을 아직 구동하는 노드 수 추정이 없다. 비트코인 가격에는 이번 일이 직접 닿지 않았고 합의 규칙은 처음부터 끝까지 그대로였다. 권고문이 확정하지 못한 것은 잔여 노출 규모, 즉 이 위험을 구체적 숫자로 만들어 줄 수량이다.