NSA 사이버 경고에 BNB Chain, PHP 미사용 공식 해명

미 국가안보국 사이버 부서, PHP 취약점 경고 발표

BNB Chain은 2026년 10월 22일 목요일, 자사 기술 스택에 PHP가 전혀 포함되지 않는다고 이용자들에게 밝혔다. 이는 미국 국가안보국(NSA)의 사이버 부서가 보안 경고를 발표한 지 몇 시간 만에 이뤄진 대응이다. NSA 사이버 부서의 공지는 시스템에서 PHP를 운영하는 조직에게 치명적인 취약점을 수정하는 업데이트를 대비하라고 지시했고, 이런 유형의 결함이 공격자에게 서버 파일 시스템에 직접 접근할 수 있는 통로를 제공하는 경우가 많다고 설명했다. 해당 코드로 구동되는 웹사이트나 서비스라면 모두 위험에 노출될 수 있는 접근 권한이다. PHP는 웹 전반에서 널리 쓰이는 서버 측 프로그래밍 언어다. 그래서 이번 권고는 암호화폐 업계를 훨씬 넘어 퍼졌고, 주요 블록체인 프로젝트들은 모두 같은 질문 앞에 놓였다. 우리 네트워크는 노출됐는가. BNB 네트워크 대표 니나 롱(Nina Rong)은 X에서 이 질문에 직접 답했다. 짧은 게시물로 스택을 확인해 주는 글을 올려 BNB Chain은 PHP를 사용하지 않는다고 밝히고, 이용자들에게 안전을 유지해 달라고 당부했다. 두 줄짜리 메시지였지만 몇 시간 만에 조회 수가 47,000건을 넘겼다. 이 수치는 BNB 생태계 전반의 홀더들이 BNB 가격을 지켜보면서 이 이슈를 함께 주시하고 있었음을 보여준다. 네트워크 자체 기준에서 이번 해명이 정리해 준 것은, 거래를 처리하고 자금을 보호하는 코드에 대해 이용자들이 실제로 가졌던 유일한 질문에 대한 답이다. 팀의 설명대로라면 그 어느 부분도 문제가 된 소프트웨어와 접점이 없다는 것이다. 이번 권고의 대상은 블록체인이 아니라 웹 애플리케이션이었지만, 시간에 쫓기는 상황에서 이용자들이 그런 구분을 하기는 드물다. 정부 기관의 경고와 두 문장짜리 답변이 오가는 동안, 업계의 일부 대형 프로젝트는 아무런 입장도 내놓지 못한 상태였다.

팬케이크스왑이 먼저 밝히고 CZ가 뒤따랐다

BNB Chain 위에 구축된 최대 규모의 DeFi 플랫폼 가운데 하나인 팬케이크스왑(PancakeSwap)은 롱의 메시지가 올라오기 몇 시간 전에 이미 자체 확인 답변을 게시한 상태였다. 팀은 기술 스택 어디에도 PHP가 없으며, 플랫폼은 이번 경고의 영향을 받지 않고, 이용자 자금은 안전하다고 밝혔다. 이어 바이낸스 창립자 창펑 자오(CZ)가 해당 게시물을 공유하며 자신의 입장을 담은 게시물로 이런 관행을 지지했다. 보안 경고가 퍼질 때 대부분의 프로젝트는 최소한 이런 형태의 확인 답변을 공개해야 한다는 것이다. 그의 논리는 단순한 메커니즘에 기반한다. 정부 기관이 경고를 내놓으면 침묵은 공포와 푸드를 키우지만, 두 분 만의 답변이면 수많은 이용자를 한 번에 진정시킬 수 있다. 위험이 실재한다는 점도 작동한다. 암호화폐 플랫폼은 실제 자금을 보관하며, 이용자들은 위험 신호의 단서에도 빠르게 반응하는 경향이 있다. 공격 표면은 체인 자체보다 넓다. 핵심 블록체인 코드에 PHP가 없더라도, 업계의 수많은 웹사이트와 지갑 인터페이스, 대시보드는 시스템 어딘가에서 여전히 PHP를 구동 중일 수 있다. 사기꾼들이 주로 노리는 지점이 바로 이 틈이다. 이런 권고가 발표될 때마다 보안 수정본을 전달한다며 돌아다니는 가짜 메시지가 등장하고, 그 목적은 대개 불안에 떨고 있는 이용자에게서 지갑 주소나 개인 키를 빼내는 것이다. 독자들은 공식 프로젝트 채널만으로 정보를 확인하고, 수정 관련 주장이 나오면 행동하기 전에 해당 프로젝트의 공식 계정과 대조하는 것이 안전하다. 블록체인 보안 감사 관련 안내문은 이런 보고서를 읽는 방법을 다룬다. 최근 네트워크의 애플리케이션 계층 사건들도 이런 주의가 체인 자체 코드를 넘어 확장되어야 하는 이유를 보여준다. 284만 달러 규모의 BNB 스마트 체인 자금 유출 사건부터 Cysic의 브리지 프로토콜 중단까지가 그 예다.

여기서 중요한 기록은 원본 자체다. 한쪽에는 NSA 사이버 부서의 공지가 있고, 다른 한쪽에는 BNB Chain과 팬케이크스왑의 두 건의 확인 답변이 있으며, 모두 10월 22일에 게시됐다. 이 패턴이 새로운 점은 하나다. 일반 웹 소프트웨어에 대한 정부 권고가 이제 블록체인 프로젝트에게 몇 시간 안에 자사 스택의 구성 내용을 밝힐 의무처럼 작동한다. 홀더들이 침묵 그 자체를 위험 신호로 취급하기 때문이다. 두 건의 확인 답변이 비워둔 부분은 나머지 전부다. 이번 권고에 답하지 않은 BNB Chain 위의 모든 프로젝트, 그리고 체인 수준의 해명이 닿지 않는 애플리케이션 계층에서 PHP를 여전히 구동 중일 수 있는 서드파티 대시보드, 프런트엔드 사이트, 지갑 서비스가 그 대상이다. 이런 서비스의 이용자들은 한 주를 끝내면서도 어떤 답변도 받지 못했다.