LNbits, 11월 8일 공격 이후 긴급 보안 업데이트 1.7.0 배포

11월 8일 공격에 따른 긴급 패치 1.7.0

라이트닝 지갑·계정 플랫폼 LNbits가 11월 10일 긴급 보안 업데이트 버전 1.7.0을 배포하고, 모든 운영자에게 서버를 재가동하기 전에 이를 설치할 것을 지시했다. 프로젝트의 공식 X 계정은 이번 배포를 "보안 업데이트"로 명시하고, 전체 변경 목록은 GitHub 릴리스 노트에서 확인하라고 안내했다. 2019년 Ben Arc가 무료·오픈소스 프로젝트로 출시한 LNbits는 LND와 Core Lightning을 포함한 어떤 라이트닝 자금원 위에서도 다중 사용자 계정과 다양한 확장 기능을 제공하며, 자체 호스팅과 관리형 인스턴스 형태로 모두 운용된다.

타임라인을 짚을 필요가 있다. 공격은 주말부터 시작됐다. 11월 8일, 즉 일요일에 LNbits는 사용자들에게 서버를 즉시 중단하라고 공개 통보했고, 보안 패치가 준비되는 동안에는 신중을 기하는 편이 낫다는 입장을 밝혔다. 프로젝트는 자체 호스팅 서비스의 모든 인스턴스도 차단했다. 운영자들의 신고에 따르면 무단 계정 생성 이후 사용자 잔액에서 출금이 이어졌다. 텔레그램 팁 서비스 BitTipBot을 운영하는 Kevin Ravensberg는 자신의 인스턴스에서 공격자가 새 계정을 열어 11월 8일 09:22부터 14:00(UTC) 사이에 약 228만 5,545사토시, 즉 대략 0.0229 Bitcoin(BTC)을 빼냈다고 보고했다.

배포와 함께 공개된 공식 업그레이드 안내에 따르면 1.7.0 이전의 모든 버전이 영향을 받으며, 기존 빌드로 운영 중인 자금은 도난 위험에 놓여 있다. 팀은 1.7.0이 11월 8일 발견된 사건에 대응하는 수정 사항을 담고 있다고 확인했으며, 취약점에 대한 전체 기술 보고서는 추후 공개하겠다고 밝혔다. 공지는 취약점의 구체적 내용을 밝히지 않았고, 피해 인스턴스 전체의 집계 손실액도 발표되지 않았다.

키 교체와 침해된 서버 재구축

패치 설치와 침해 복구는 별개의 작업이다. LNbits는 업데이트만으로 공격자가 이미 확보한 접근 권한이 자동으로 무효화되지 않는다고 경고했다. 공격 기간에 서버가 건드렸다면 업그레이드를 마친 뒤에도 안전하지 않을 수 있다는 뜻이다. 안내문은 침해가 의심되는 운영자에게 먼저 로그와 기록을 보존하라고 지시한 뒤, 기존 서버를 믿기보다 1.7.0이 설치된 새 서버를 세우라고 한다. 이 기록 보존이 중요한 이유는 공격 경로의 증거가 예정된 기술 보고서의 재료가 되기 때문이다.

새 서버에서 슈퍼 관리자는 모든 사용자 지갑의 프라이빗 키를 교체해 기존 키를 무효화해야 하며, 연결된 모든 앱에 새 키를 반영해야 한다. API 키나 마카룬 같은 자금원 자격 증명은 원천에서 철회 후 재발급하고, 서버 설정에 저장된 기타 비밀 정보도 함께 교체해야 한다. NWC Provider, LNDHub, Bolt Cards, TPOS, Bleskomat, FOSSA를 포함한 기존 확장 연결은 모두 해체한 뒤 새 자격 증명으로 재구축해야 한다.

릴리스 노트는 인증, 확장 관리, 결제 처리 전반에 걸친 강화와 의존성 업데이트를 언급하지만, 공격 경로를 막는 구체적 변경점은 아직 공개되지 않았다. 1.7.0에는 신규 기능도 포함됐다. 온체인 지갑 지원, BOLT12 오퍼 결제, TOTP 2단계 인증, NIP-17 지원, 작업 스케줄러, 확장 자동 업데이트, LNbits 자금원의 홀드 인보이스 지원이 그것이다. SlowMist의 사건 기록은 같은 228만 5,545사토시를 단일 인스턴스 피해 사례로 기재했다. 공지는 비트코인 네트워크나 라이트닝 프로토콜 자체의 침해 여부에 대해서는 침묵을 지키고 있으며, 지금까지 확인된 피해는 프로토콜 계층이 아니라 운영자 서버에 머문다.

COINOTAG의 분석: 근본 원인이 아직 공개되지 않았다는 점이 이 사건의 가장 날카로운 지점이다. LNbits는 구조상 핫월렛으로 작동하며, 공식 안내도 운영자에게 온라인에는 운영에 필요한 잔액만 두고 나머지는 오프라인 키로 옮기라고 권고한다. 기술 보고서가 공격 경로를 명명할 때까지 패치를 적용하지 않았거나 방금 업그레이드를 마친 모든 인스턴스는 실제 표적으로 취급해야 하며, 이번 배포에 자격 증명 전면 교체 절차가 함께 실린 이유가 여기에 있다. 잉여 잔액에는 Tangem 모바일 지갑 같은 콜드스토리지가 서버를 신뢰 사슬에서 완전히 분리해 주고, 자산 보호의 사용자 측 원칙은 암호화폐 자산 보호 가이드에서 같은 맥락으로 다룬 바 있다.