BTCPay, 공격자들의 자금 탈취 사건 이후 원격 라이트닝 액세스 제한

2026년 9월 5일 읽는 시간 약 8분

BTCPay 서버는 공격자들이 심각한 취약점을 악용하여 자격 증명을 탈취하고 자금을 이체한 후, 라이트닝 네트워크 데몬(LND)이 실행되는 라이트닝 네트워크 노드에 대한 공개 원격 연결을 일시적으로 차단했습니다. BTCPay 측은 원격 접속을 다시 안전하게 복구하는 동안에도 라이트닝 결제는 계속 진행될 것이라고 밝혔습니다.

보안 강화 차원에서 BTCPay 서버는 버전 2.4.2 업데이트를 통해 LND 버전 0.21.1을 설치하고 표준 배포 환경에서 LND를 제어하는 데 사용되는 “마카룬” 자격 증명 파일을 자동으로 재생성한다고 발표했습니다. 또한 운영자는 무단 결제, 예기치 않은 채널 폐쇄, 의심스러운 피어, 기록된 잔액과 온체인 또는 라이트닝 네트워크에 실제로 존재하는 잔액 간의 불일치 등 침해 징후가 있는지 노드를 검사할 것을 권고받았습니다.

핵심 요약

BTCPay 서버 2.4.2는 Docker 배포 환경에서 LND에 대한 공개 원격 연결을 제한하여 외부 지갑이 BTCPay 도메인이나 Tor Onion 주소를 통해 연결하는 것을 방지합니다.
이번 업데이트는 표준 BTCPay 설치 환경에서 LND 0.21.1을 자동으로 설치하고 LND 마카룬 자격 증명을 다시 생성합니다.
운영자는 무단 결제, 예기치 않은 채널 폐쇄, 낯선 사용자, 잔액 불일치 등을 도난의 징후로 보고 모니터링해야 합니다.
운영자가 자체 리버스 프록시, Tor 서비스, 포트 포워딩 또는 BTCPay 외부의 다른 경로를 통해 LND를 노출하는 경우 자격 증명은 별도로 교체해야 합니다.

BTCPay가 원격 LND 접근을 차단한 이유는 무엇일까요?

BTCPay Server의 권고 사항은 특정 장애 모드, 즉 BTCPay에 따르면 인증되지 않은 원격 공격자가 LND 노드 제어 권한을 부여하는 macaroon 자격 증명 파일을 획득할 수 있도록 허용하는 심각한 취약점에 초점을 맞추고 있습니다.

해당 자격 증명은 사실상 특정 당사자가 노드를 관리하거나 노드를 대신하여 작업을 수행할 수 있도록 하는 핵심 자료입니다. BTCPay는 노출된 자격 증명으로 인해 공격자가 LND 인스턴스를 장악하고 자금을 이체할 수 있다고 경고했습니다.

공격 가능성을 줄이고 문제 해결을 진행하기 위해 BTCPay는 BTCPay가 관리하는 엔드포인트를 통해 LND 소프트웨어를 실행하는 라이트닝 노드에 대한 공개 원격 연결을 일시적으로 제한했습니다. BTCPay는 성명에서 이번 조치로 Zeus를 포함한 외부 지갑이 BTCPay 서버 도메인이나 Docker 배포 환경의 Tor Onion 주소를 통해 연결하는 것이 차단된다고 강조했습니다.

일상적인 운영자들에게 중요한 점은 BTCPay가 라이트닝 결제는 계속될 수 있다고 밝혔다는 것입니다. 이번 제한은 원격 접속 기능을 복원해도 안전하다고 판단될 때까지의 임시방편입니다.

2.4.2 업데이트에서 통신 사업자에게 변경되는 사항은 무엇인가요?

BTCPay의 수정 사항은 버전 2.4.2를 통해 제공됩니다. 프로젝트에 따르면 이번 릴리스에서는 LND 버전 0.21.1이 설치되고 표준 BTCPay 설치 환경에서 마카룬 자격 증명이 자동으로 재생성됩니다.

해당 자동 갱신 기능은 보안 권고에서 지적된 핵심 위험, 즉 자격 증명을 획득한 공격자가 기본 권한 부여 아티팩트를 교체하지 않으면 사후에 해당 자격 증명을 사용할 수 있다는 문제를 해결하기 위해 설계되었습니다. BTCPay는 LND 버전과 제어에 사용되는 자격 증명을 모두 업데이트함으로써 일반적인 배포 환경에서 권한 부여 상태를 효과적으로 재설정합니다.

소프트웨어 변경과 함께 BTCPay는 운영자가 보안 침해가 발생하지 않았는지 확인할 수 있도록 구체적인 체크리스트를 제공했습니다. 이 프로젝트에서는 다음 사항을 확인하도록 권고했습니다.

승인되지 않은 결제는 누군가가 운영자의 의도와 상관없이 노드를 관리했음을 나타냅니다.
예기치 않은 채널 폐쇄는 적대적인 채널 관리 또는 강제 라우팅 동작을 나타낼 수 있습니다.
알 수 없는 피어는 공격자가 해당 노드에 연결을 설정했음을 드러낼 수 있습니다.
운영자가 예상하는 금액과 온체인 또는 라이트닝 잔액에 표시되는 금액 간의 차이.

무엇보다 중요한 것은 BTCPay가 실제 배포 환경에서 발생하는 문제점을 지적했다는 점입니다. 모든 통신 사업자가 BTCPay 자체 라우팅을 통해서만 LND(Local Negative Disclosure)를 노출하는 것은 아닙니다. 자체 리버스 프록시, Tor 서비스, 포트 포워딩 또는 대체 액세스 경로를 운영하는 사업자의 경우, BTCPay는 업데이트를 설치해도 독립적으로 관리되는 액세스 경로가 차단되지 않는다고 밝혔습니다. 이러한 경우, 사업자는 BTCPay가 관리하는 엔드포인트를 제외한 모든 LND 노출에 대해 별도로 자격 증명을 변경해야 합니다.

손실액은 공개되지 않았지만 손실에 대한 공개 보고서가 나왔습니다.

취약점과 해결 방안이 공론화된 후, 최소 두 곳의 통신사가 라이트닝 노드 해킹으로 인한 손실을 보고했지만, 피해액은 공개하지 않았습니다.

파운데이션 CEO인 잭 허버트는 하드웨어 지갑 회사의 라이트닝 노드가 밤새 고갈되었다고 밝혔습니다. 그는 나중에 핫 월렛은 영향을 받지 않았으며, 라이트닝 채널은 폐쇄되고 자금은 다른 곳으로 이체되었다고 해명했습니다. 이는 이번 해킹이 더 광범위한 지갑 인프라가 아닌 라이트닝 채널 제어에만 국한되었음을 시사합니다.한편,

비트코인 전문 매체인 시타델21은 자사의 라이트닝 노드가 해킹당했다고 보도했습니다. 허버트의 발언과 마찬가지로, 시타델21 역시 손실 규모에 대한 구체적인 수치는 공개하지 않았습니다.

이번 보고서는 모든 BTCPay 사용자에게 미치는 사고 규모를 명확히 밝히지는 못했지만, 자격 증명 노출이 라이트닝 펀드에 대한 실질적인 통제권 상실로 이어질 수 있으므로 신속하고 철저한 복구가 필요하다는 점을 다시 한번 강조합니다.

비트코인 네트워크 전반의 인프라를 겨냥한 보안 공격이 계속되고 있습니다.

BTCPay 사건은 인기 있는 비트코인 제품에 영향을 미치는 일련의 보안 문제 중 가장 최근 사례입니다.

앞서 코인텔레그래프는 1억 달러 이상의 손실이 확인된 콜드카드 하드웨어 지갑 결함을 보도하며, 공격 대상이 비트코인 프로토콜 자체가 아니라 비트코인을 중심으로 구축된 소프트웨어 및 인프라 구성 요소인 경우가 많다는 점을 강조했습니다.

이러한 패턴이 중요한 이유는 위험을 “비트코인 네트워크 자체”에서 사람들이 블록체인과 상호작용하는 데 사용하는 시스템, 즉 지갑, 노드 운영자, 결제 서버, 그리고 사용자와 블록체인 운영을 연결하는 브리징 소프트웨어로 옮기기 때문입니다. 실제로 이는 가장 효과적인 방어책이 운영상의 조치, 즉 시기적절한 패치 적용, 올바른 자격 증명 순환, 신중한 노출 관리, 그리고 이상 징후에 대한 지속적인 모니터링에 있음을 의미합니다.

BTCPay의 원격 접속 일시 제한은 운영 방어 모델의 또 다른 단계로 해석될 수 있습니다. 즉, 업데이트가 배포되고 운영자가 설정을 강화하는 동안 자격 증명 오용을 허용할 수 있는 유입 경로를 줄이는 것입니다.

현재로서는 BTCPay 운영자에게 가장 중요한 것은 버전 2.4.2를 적용하고 노출 경로를 확인한 후, BTCPay가 제시한 특정 침해 지표에 대해 노드를 감사하는 것입니다. 또한, BTCPay가 관련 배포 유형에 대한 잔여 위험이 완전히 완화되었다고 판단한 후 원격 액세스 기능을 복원하는지 여부도 주시해야 합니다.