Filecoin의 filecoin-pin, DoS 취약점 CVE-2026-62300 수정 패치 1.1.1 배포

filecoin-pin의 서비스 거부 취약점

Filecoin (FIL)(필레인)의 데이터 저장 도구 filecoin-pin에서 발견된 서비스 거부(DoS) 취약점의 수정 패치가 배포됐다. 취약점은 6월 26일 첫 공개됐고 10월 30일 미국 취약점 데이터베이스(NVD)에 등록된 뒤 11월 5일 GitHub 보안 권고 데이터베이스에도 올라가며 약 넉 달 동안 세 개의 독립된 점검 단계를 통과했다. 수정 버전은 1.1.1로, 이 결함은 공격자가 과도한 크기의 저장 요청을 반복해 서버의 자원을 고갈시키고 서비스를 느려지게 하거나 중단시킬 수 있게 하는 것이다.

filecoin-pin은 Filecoin 프로젝트가 제공하는 소프트웨어로, 네트워크 애플리케이션 계층 하위에 있는 분산 파일 저장 시스템인 블록체인 생태계의 IPFS 데이터를 저장하고 유지하는 데 쓰인다. 권고문에 따르면 취약점의 원인은 도구가 세 가지를 동시에 충분히 제한하지 않은 데 있다. 클라이언트가 저장 요청을 보낼 수 있는 횟수, 요청 하나가 소모할 수 있는 처리 용량, 동시에 실행 가능한 작업 수가 그 대상이다. 대용량 저장 요청을 반복하면 저장 공간, 네트워크 대역폭, CPU, 메모리 사용량이 한계에 도달해 응답 속도가 저하되거나 서버가 완전히 내려갈 수 있다. 즉 해당 도구 위에 구축된 서비스는 성능 저하가 아니라 전면 중단에 직면할 수 있다는 뜻이다. 이번 건은 실제 사고로 드러난 것이 아니라 조율된 공개 절차를 거쳤다.

영향을 받는 코드는 filecoin-pin 1.1.0과 그 이전의 모든 버전이다. GitHub은 위험도를 10점 만점에 6.5점으로 평가해 '보통' 등급으로 분류했으며, '높음' 구간에는 이르지 않는다. 노출 정도는 배포 환경에 따라 다르다. 외부 접근을 의도적으로 허용하거나 사용자 인증 없이 요청을 받는 서버의 위험이 가장 크다. 기본 설정은 외부 접근과 비인증 사용을 이미 제한하고 있어 기본 배포라면 위험이 낮다. 수정 버전 1.1.1이 배포됐지만 권고문은 업그레이드를 여러 조치 중 하나로 제시하며, 업그레이드 후에도 외부 접근 제한과 사용자 인증을 적용하라고 운영자에게 요구한다.

패치 적용률 미집계 속 FIL 7.6% 하락

권고문은 두 가지 배포 유형을 구분한다. 외부 네트워크에 노출된 서버나 발신자를 확인하지 않고 저장 요청을 수용하는 서버는 공격 면이 가장 넓어, 엔드포인트에 닿을 수 있는 누구나 요청 반복 공격을 시작할 수 있다. 기본 설치는 어느 쪽도 해당하지 않아 동일한 심각도 점수에서도 기본 위험은 상대적으로 낮게 평가된다. 오늘도 1.1.0 이하 버전을 돌리는 배포에는 이 구분이 실질적으로 중요하다. 수정판 1.1.1은 공개돼 있지만 얼마나 많은 설치본이 적용했는지 기록에는 나타나지 않으며, 패치의 존재와 패치의 채택은 별개의 사실이다.

이 취약점의 경계도 분명하다. 문제는 Filecoin (FIL) 생태계와 관련된 소프트웨어에서 발견됐지 Filecoin 블록체인 자체에서 발견된 게 아니다. 권고문은 이를 자산 보관 문제가 아닌 데이터 처리 문제로 기술한다. 개인 키나 크립토 지갑 자료는 전혀 개입하지 않으며 실패 양상은 자원 고갈이지 절도가 아니다. 기록에는 실제 공격 흔적도 없다. 악용으로 인한 실제 서버 중단이나 Filecoin 네트워크 전체의 피해는 관측되지 않았으므로 위험은 잠재적 상태로 남아 있다. Filecoin의 저장 경제는 저장 용량을 제공하고 검색 요청을 처리하는 공급자들 위에서 작동하며, 이 도구를 통해 사용자 데이터를 고정하는 저장 공급자와 개발자가 수정 버전의 대상 집단이다.

운영자가 확인할 조치는 권고문 순서 그대로 세 가지다. 첫째, filecoin-pin을 1.1.1로 업그레이드한다. 둘째, 배포에 필요 없는 경우 서비스의 외부 접근을 제한한다. 셋째, 사용자 인증을 활성화해 익명 요청이 제출될 수 없게 한다. 각 단계는 서로 다른 노출 지점을 막으며, 권고문은 업그레이드만으로는 인터넷에 노출된 서버의 문제가 끝나지 않는다고 명시한다. 마지막 두 단계를 건너뛴 운영자는 컴파일한 버전과 무관하게 권고문이 가장 위험하다고 지목한 구성을 그대로 유지하게 된다.

이번 공개는 체인 자체의 보안이 아니라 공급망 도구에 관한 것이라는 점이 해석의 기준이 된다. Filecoin의 핵심 프로토콜은 영향을 받지 않았고, '보통' 등급의 6.5점과 기본 차단되는 노출 조건이 피해 범위를 제한한다. 이 때문에 시장 데이터상 FIL이 지난 24시간 동안 7.6% 하락한 것은 결함의 직접적 재평가라기보다 전반적인 매도 압력으로 읽힌다. 주변부 결함 하나가 토큰의 시가총액을 단독으로 움직이는 경우는 드물며, FUD를 자극할 수는 있어도 그 정도에서 그친다. 실시간 FIL 기술적 분석에서 이번 세션을 계속 관찰 중이다. 열린 과제는 채택률이다. 1.1.1은 공개됐지만 노출되고 무인증인 서버 중 얼마나 업그레이드했는지 기록은 아직 없으며, 그 정확히 그 배포가 이번 결함의 사정권에 있다. 거버넌스 동향을 별도로 추적하는 보유자는 컨센서스 블록 보상을 9개 분기에 걸쳐 95%에서 50%로 줄이는 Filecoin의 FIP-0118 제안을 확인할 수 있다.