비트코인 지갑, '가짜 거래'로 개인키 없이도 자금 탈취 가능 취약점 발견

비트코인 지갑 서비스인 일렉트럼(Electrum)에서 사용자의 개인 키 없이도 자금을 탈취할 수 있는 심각한 보안 취약점이 발견되었습니다. 이 문제는 특히 사용자가 보류 중인 비트코인 거래의 수수료를 수동으로 늘리려고 할 때 발생하며, 해커들이 거래 정보를 조작하여 사용자를 속일 수 있는 것으로 확인되었습니다.

일렉트럼 개발팀은 버전 4.8.3을 긴급 출시하며 이 취약점을 해결했다고 밝혔습니다. 이번 취약점은 해커들이 정상적인 수신자 주소의 마지막 네 자리와 일치하는 사기성 거래 주소를 생성하여 사용자를 오인하게 만들 수 있다는 점에서 위험성이 높습니다. 개발팀은 실제 공격이 진행 중임을 확인했으며, 사용자들이 즉시 최신 버전으로 업데이트할 것을 강력히 권고했습니다. 다만, 이번 공격으로 인해 피해를 입은 지갑의 수와 총 탈취 금액에 대한 정보는 아직 공개되지 않았습니다.

**수수료 변경 시도, 역이용된 보안 허점**

이번에 발견된 보안 문제는 일렉트럼 지갑이 비확인 거래를 추적하기 위해 외부 서버에 의존하는 방식에서 비롯됩니다. 해커들은 악의적으로 조작된 서버를 통해 사용자에게 표시되는 결제 정보를 가로채, 자금을 자신들이 통제하는 주소로 보내도록 변경할 수 있었습니다. 이러한 사기성 거래는 처음에는 유효하지 않은 서명을 포함하고 있어 정상적인 결제로 처리될 수 없습니다. 그러나 취약한 일렉트럼 버전은 사용자가 추가 수수료를 승인하기 전에 이러한 서명의 유효성을 제대로 검증하지 못했습니다. 그 결과, 사용자의 지갑에서는 원래의 정상적인 거래가 사라지고, 대신 공격자가 조작한 거래가 확인을 기다리는 것처럼 보이게 됩니다.

이후 공격자는 비트코인의 'Replace-by-Fee(RoF)' 기능을 악용합니다. 이 기능은 지연된 결제를 광부들이 더 빨리 처리하도록 수수료를 높일 수 있도록 설계되었습니다. 사용자가 조작된 거래의 수수료를 수동으로 인상하면, 일렉트럼 지갑은 변경된 결제 세부 정보를 승인하는 새로운 서명을 생성하게 됩니다. 이 승인을 통해 공격자가 조작한 거래가 유효해지고, 사용자의 개인 키가 노출되지 않은 상태에서도 자금이 공격자에게 이전될 수 있습니다.

**사건의 발단과 전개**

이러한 문제점은 지난 10월 11일과 18일에 접수된 두 건의 사용자 불만으로 처음 인지되었습니다. 첫 번째 사용자는 자신이 송금한 결제가 승인된 후 지갑 내에 익숙하지 않은 거래가 나타나는 것을 발견했습니다. 두 번째 사용자는 보류 중인 거래를 가속화하려다 자금을 잃었다고 보고했습니다. 두 사례 모두에서 공격자는 의도된 수신자의 주소와 마지막 네 자리가 일치하는 비트코인 주소를 생성했습니다. 이는 부분적인 주소 확인에 의존하는 사용자들을 속이기에 충분했습니다.

일렉트럼 개발팀은 구체적인 탈취 금액은 공개하지 않았지만, 일부 서버가 이미 이러한 공격을 적극적으로 수행하고 있다는 사실을 확인했습니다. 이는 사용자들에게 즉각적인 업데이트의 필요성을 강조하는 중요한 부분입니다. 이 취약점은 버전 4.8.3 이전의 모든 일렉트럼 버전에 영향을 미치는 것으로 파악되었습니다. 특히, 비트코인 거래에서 수수료는 거래의 우선순위를 결정하는 중요한 요소이기 때문에, 이 부분을 조작하는 공격은 사용자에게 큰 혼란과 피해를 야기할 수 있습니다.

**사용자 주의 및 향후 과제**

이번 사건은 비트코인 지갑 사용자들이 항상 최신 보안 업데이트를 유지하고, 거래를 승인할 때 수신자 주소를 꼼꼼히 확인해야 함을 다시 한번 상기시킵니다. 또한, 외부 서버에 의존하는 서비스의 특성상, 신뢰할 수 없는 서버와의 연결을 피하고 보안성이 강화된 지갑을 선택하는 것이 중요합니다. 많은 사용자들이 편리함을 위해 자주 사용하는 일렉트럼 지갑에서 발생한 이번 문제는 암호화폐 보안의 중요성을 재확인시키는 계기가 되었습니다.

암호화폐 시장의 성장과 함께 해킹 시도 또한 더욱 지능화, 고도화되고 있습니다. 특히 개인 키를 직접 탈취하는 방식 외에도, 소프트웨어의 허점을 이용하거나 사용자 심리를 이용하는 다양한 방식의 공격이 등장하고 있습니다. 이번 일렉트럼 취약점은 이러한 공격 패턴의 변화를 보여주는 사례로, 앞으로 암호화폐 생태계 전반에 걸쳐 보안 강화의 필요성이 더욱 커질 것으로 예상됩니다. 개발자들은 지속적인 연구와 업데이트를 통해 사용자 자산을 보호하는 데 힘써야 하며, 사용자들 역시 이러한 보안 위협에 대한 경각심을 늦추지 않아야 할 것입니다. 아직 정확한 피해 규모가 파악되지 않은 만큼, 추가적인 정보 발표에 귀추가 주목됩니다.