Bitcoin Core, 비트코인(BTC) 노드 다운 버그 3건 공개

버그 3건, 새 공개 정책

Bitcoin (BTC) Core가 인공지능 스캔으로 발견된 취약점 3건의 세부 내용을 공개했다. 그중 하나는 Windows, macOS, BSD에서 구동 중인 비트코인(BTC) 노드를 원격에서 다운시킬 수 있는 결함이다. 해당 문서들은 수요일(10월 28일)에 게시됐으며, 대규모 언어 모델이 취약점 발견 비용을 낮춘 만큼 쉽게 찾을 수 있는 버그는 빨리 공개한다는 새로운 공개 정책을 프로젝트가 10월 22일 채택한 지 일주일도 되지 않은 시점이다. 프로젝트의 보안 권고문 목록에 세 건이 모두 실렸고, 그중 메모리 고갈 결함이 상세히 기술돼 있다. 노드를 다운시키는 이 버그는 10월 23일 금요일 자동 스캔이 최초로 지적했고 같은 날 개발자들이 확인했다. 수정 사항은 10월 27일 화요일 배포됐으며, 메모리 버그에 대한 권고문은 같은 스캔이 찾아낸 다른 두 건과 함께 10월 28일 수요일 공개됐다. 노드는 Bitcoin 네트워크 전체에서 모든 거래를 검증하고 중계하는 소프트웨어이며, Bitcoin Core는 운영자 대다수가 사용하는 구현체다. 따라서 여기에 결함이 생기면 네트워크 전체의 문제가 된다. Windows, macOS, BSD에서 작동하는 결함은 접속한 어떤 컴퓨터든 노드에 데이터를 쏟아부어 메모리를 고갈시키고 다운시킬 수 있었다. 지금까지 Core 개발자들은 이런 중간 수준 결함을 최대 1년까지 비밀로 유지해, 공격자가 표적을 알기 전에 운영자들이 업그레이드할 시간을 벌어줬다. 이 관행은 쉽게 발견되는 부류에는 더 이상 적용되지 않는다. 수정 사항은 이제 지원되는 모든 버전에 최대한 빨리 배포되고 공개 권고문이 함께 붙는다. 세 버그 모두 대규모 언어 모델로 코드베이스를 훑은 한 차례의 자동 스캔에서 나왔고, 각 발견은 보안팀에 도달하기 전 인간 기여자가 검증을 거쳤다. 공개된 내용 중 비트코인 가격의 움직임이나 합의 규칙에 손대는 것은 없다. 노출 지점은 개별 머신의 자원 처리에 있다.

두 번째 버그는 정책 변경의 가장 뚜렷한 근거다. 스캔의 발견이 9월 15일 프로젝트에 도착했고 6일 뒤 보고를 전혀 받지 못한 개발자가 같은 결함을 독자적으로 찾아냈다. 기계가 일주일 안에 버그를 다시 발견할 수 있다면 긴 비밀 유지는 무의미하다는 점을 보여주는 순서다. 권고문에 따르면 이 결함은 접속한 피어가 구식 프로토콜 버전을 실행한다고 주장한 뒤 응답을 멈출 수 있게 하며, 들어오는 연결당 시간당 2MB, 나가는 연결당 시간당 5MB 속도로 메시지가 피해자의 메모리에 쌓이게 했다. 낮은 심각도로 분류된 세 번째 결함은 세 번 별도로 나타났다. 스캔에서 한 번, 개발자들의 독립 보고로 두 번(8월, 그리고 10월 23일)이었다. 채굴자는 작업 증명 규칙 아래 체인의 순서를 정하는 과정에서, 네트워크가 최근 몇 개 블록을 경쟁 집합으로 교체할 때 쓰는 재정리 파일을 넘치게 하는 블록을 만들 수 있다. 64비트 머신에서 이 공격은 네트워크 전체의 블록 생산량으로 약 한 달이 필요하다. 반면 Windows와 32비트 시스템에서는 노드가 완전히 멈출 수 있고, 재시작으로도 상태가 해소되지 않는다고 권고문은 말한다. 32비트 하드웨어의 노드나 오래된 FAT32 드라이브에 블록을 저장하는 노드는 수정 사항 배포 후에도 여전히 노출돼 있다. 릴리스 노트는 이미 Bitcoin (BTC) Core 30.0 버전에서 수정된 중간·높은 심각도 버그 세 건이 2주 안에 공개될 것이라고 덧붙인다. 지원되는 64비트 빌드를 쓰는 운영자는 수정 버전으로 업그레이드하면 기록된 노출을 해소한다. 잔여 위험을 남기는 요인은 코드가 아니라 하드웨어와 저장 장치다.

공격 흔적 없음

COINOTAG의 판단은 이번 정책 전환이 비밀 유지의 가치를 다시 정했다는 것이다. 대규모 언어 모델이 버그에 도달할 수 있는 순간 프로젝트는 누가 비밀로 간직했든 이를 공개된 것으로 취급하며, 권고문 기록은 이제 의도가 아니라 날짜로 그 입장을 뒷받침한다. 당면 위험은 32비트 시스템이나 FAT32 저장 장치를 쓰는 운영자에게 집중된다. 패치가 이들을 커버하지 않기 때문이다. 채굴 작업은 처음부터 대상이 아니었다. 결함은 채굴 장비나 보상이 아니라 노드 소프트웨어에 있기 때문이다. 공개된 자료 어디에도 실제 공격자가 노드를 다운시킨 기록은 없고, 수정 사항 배포 이후 사고가 보고된 바도 없다. 다운된 노드에 대한 첫 확인 보고가 나오는 순간 이 패치 공지는 사건이 된다. 아직 그 보고는 없다.