BTCPay 서버, 핫 월렛 도난 후 서버 종료 요청

BTCPay Server 결제 서비스의 개발자들은 구형 설치에서 핫 월렛의 도난에 대해 경고했습니다. 2026년 11월 2일자 공지에서 팀은 조사가 완료될 때까지 ./btcpay-down.sh 스크립트를 사용하여 서버를 일시적으로 종료할 것을 운영자들에게 요청했습니다. 초기 경고는 모든 사용자에게 적용되었습니다.

나중에 범위가 좁혀졌습니다: 취약점은 2026년 7월 23일에 출시된 2.4.1을 포함한 2.4.1 및 이전 버전에 영향을 미칩니다. 프로젝트에 따르면 최신 버전 2.4.7과 관련된 도난에 대한 신뢰할 수 있는 보고는 없으며, 운영자들은 업데이트할 것을 권장받고 있습니다.

BTCPay Server의 공동 창립자 Nicolas Dorier는 프로젝트의 2.4.7 버전의 공개 서버는 공격받지 않았으며, 보고에 따르면 영향을 받은 설치는 2.4.2 이전 버전에서 실행되고 있었다고 명확히 했습니다. 공격자는 관리자 권한으로 시스템에 접근했지만, 어떻게 이를 얻었는지는 아직 조사 중입니다. 프로젝트는 도난 금액, 영향을 받은 서버 수, 보고된 손실 수를 공개하지 않았으며, 이는 진행 중인 조사 때문입니다. 영향을 받은 당사자들은 security@btcpayserver.org로 데이터와 시스템 로그를 보내달라고 요청받고 있습니다.

맥락

8월에 BTCPay Server는 이미 적극적으로 악용되는 취약점에 대해 경고했습니다. 당시 공격자들은 LND 관리자 마카롱 자격 증명과 라이트닝 월렛에 접근했지만, 프로젝트에 따르면 일반 온체인 월렛, 핫 월렛을 포함한 월렛은 영향을 받지 않았습니다. 해당 취약점을 발견한 것에 대해 프로젝트는 반환된 자금의 10%를 보상으로 약속했으며, 최대 3 BTC로 제한하고 Sparrow Wallet 개발자 Craig Raw와 Bitcoin Red Team 펀드에 각각 0.21 BTC를 수여했습니다.

새로운 경고 이후, 호스팅 제공업체들은 자동으로 구형 설치를 비활성화하기 시작했습니다. BTCPay Server는 LunaNode 및 기타 업체들에게 빠른 대응에 대해 감사의 뜻을 전했습니다. 프로젝트는 핫 월렛에 최소한의 자금을 유지하고 초과분은 콜드 스토리지로 이전할 것을 권장합니다. 9월에 Core Lightning은 유사한 경고를 발행했습니다: 공격자들은 구형 패치되지 않은 노드를 대상으로 했습니다. 조사 완료 기한이나 자금 회수 보고는 아직 없습니다.