비트코인 라이트닝, 71% 노드 여전히 취약...보안 패치 느려

비트코인 라이트닝 네트워크의 상당수 노드가 1년 이상 공개된 보안 취약점에 노출된 상태로 운영되고 있는 것으로 나타나, 핵심 결제 인프라의 보안 강화 속도에 대한 우려를 낳고 있다.

지난 8월 보안 감사에서 취약점으로 지목된 비트코인 라이트닝 노드 중 71%가 10월에도 여전히 해당 취약점에 영향을 받는 소프트웨어를 사용하고 있다는 조사 결과가 나왔다. 이는 보안 패치가 제공된 지 1년 이상이 지났음에도 불구하고, 비트코인 결제 인프라의 보안 업데이트가 지연되고 있음을 시사한다. 심지어 이러한 보안 경고가 노드 운영자들이 업데이트를 서두르도록 만드는 가시적인 촉매제 역할을 하지 못했다는 점은, 운영자들에게 보안 패치를 적용하도록 독려하는 효과적인 방안에 대한 의문을 제기한다.

10월 21일 발표된 한 연구에 따르면, 8월 11일 보안 공개 당시 취약점으로 지목된 550개의 공개 LND(Lightning Network Daemon) 노드 그룹 중 71%가 10월 13일 기준으로 여전히 취약한 소프트웨어 릴리스 라인에서 운영되고 있었다. 해당 기간 동안 업그레이드를 진행한 노드는 약 10%에 불과했으며, 108개의 노드는 더 이상 활성 상태로 분류되지 않았다. 이러한 결과는 보안 패치가 일부 라이트닝 네트워크 운영자에게 배포되더라도, 실제 적용 시점은 배포 날짜로부터 상당한 시간이 지난 후에 이루어질 수 있음을 보여준다.

이러한 지연은 특히 주목할 만하다. 8월의 보안 공개에서 다루어진 6가지 취약점에 대한 패치는 LND 버전 0.19.0이 출시되기 446일 전에 이미 제공되었다. LND는 비트코인 블록체인의 메인 트랜잭션 레이어 외부에서 결제를 처리하는 비트코인 라이트닝 네트워크 노드를 운영하는 데 사용되는 주요 소프트웨어 구현 중 하나이다.

**플랫폼 릴리스에 따른 업그레이드 주기, 보안 경고보다 우선**

비트코인 데이터 랩(Bitcoin Data Labs)의 사우라브 쿠마르(Saurabh Kumar)의 연구는 라이트닝 네트워크의 가장 큰 소프트웨어 업그레이드 물결이 비트코인 노드 소프트웨어를 패키징하는 플랫폼인 움브렐(Umbrel)의 릴리스와 밀접하게 연관되어 있음을 발견했다. 가장 큰 세 번의 업그레이드 물결은 각각 262개에서 385개의 노드를 포함했으며, 참여 노드의 최소 87%가 움브렐 릴리스 발표 후 48시간 이내에 업데이트된 소프트웨어 기능을 방송했다. 그러나 움브렐은 해당 LND 릴리스보다 19일에서 41일 후에 해당 버전을 배포했는데, 이는 개발자가 패치를 제공하는 시점과 운영자가 선호하는 플랫폼을 통해 패치를 받는 시점 사이에 또 다른 잠재적인 지연을 발생시킨다.

이러한 연관성은 소프트웨어 배포 채널이 비트코인의 결제 인프라가 보안 개선 사항을 얼마나 신속하게 채택하는지에 상당한 영향을 미칠 수 있음을 시사한다. 이번 연구는 개별 노드가 어떤 플랫폼을 사용했는지 식별하지 못했기 때문에, 자동 업데이트의 정확한 역할은 여전히 불분명하게 남는다.

공개적인 보안 경고는 운영자 행동 변화에 덜 효과적인 것으로 나타났다. 9건의 LND 취약점 공개 전반에 걸쳐, 연구자는 취약한 소프트웨어에서 벗어나는 노드의 속도에서 통계적으로 감지 가능한 가속화를 발견하지 못했다. 이는 공개 이후 명확하고 광범위한 업그레이드 급증이 따르지 않았음을 보여주지만, 작은 규모의 반응 가능성을 배제하지는 않는다.

지연은 보안 사건을 넘어 확장된다. LND 버전 0.19부터 0.21이 출시되었을 때 구형 소프트웨어를 운영하던 노드는 새로운 릴리스 라인으로 전환하는 데 추정된 중앙값 88일을 소요했다.

그럼에도 불구하고, 잠재적인 노출 위험은 라이트닝 네트워크의 결제 인프라 전반에 걸쳐 불균등하게 분포되어 있다. 8월 공개 당시, 취약한 릴리스 라인을 사용하던 노드들은 전체 LND 노드의 29%를 차지했다. 하지만 10월 조사에서는 이 비율이 71%로 크게 증가했으며, 이는 시간이 지날수록 상황이 개선되지 않고 오히려 악화되고 있음을 보여준다.

**라이트닝 네트워크의 보안 과제와 전망**

라이트닝 네트워크는 비트코인의 확장성 문제를 해결하기 위한 중요한 기술로 간주되지만, 이러한 보안 업데이트 지연 문제는 네트워크의 신뢰성과 채택 속도에 부정적인 영향을 미칠 수 있다. 특히 대규모 거래나 금융 상품이 라이트닝 네트워크를 통해 이루어질 경우, 잠재적인 보안 취약점은 심각한 금전적 손실로 이어질 수 있다.

전문가들은 이러한 문제를 해결하기 위해 두 가지 주요 방안을 제시한다. 첫째, LND와 같은 소프트웨어 구현체 개발 팀은 보안 패치의 중요성을 더욱 강조하고, 운영자들이 신속하게 업데이트할 수 있도록 명확한 지침과 지원을 제공해야 한다. 둘째, 움브렐과 같은 플랫폼 제공 업체는 개발된 보안 패치를 가능한 한 빨리 사용자에게 배포하는 프로세스를 개선해야 한다. 또한, 자동 업데이트 기능을 더욱 강화하고, 사용자에게 보안 업데이트의 중요성을 지속적으로 알리는 캠페인이 필요하다.

사라진 보안 패치의 71%는 단순한 기술적 문제를 넘어, 비트코인 생태계 전체의 협업 및 거버넌스 메커니즘에 대한 근본적인 질문을 던진다. 블록체인 기술의 발전과 더불어, 이러한 보안 과제를 해결하기 위한 지속적인 노력과 관심이 요구되는 시점이다.

현재 라이트닝 네트워크는 비트코인 결제를 더욱 빠르고 저렴하게 만들 잠재력을 가지고 있지만, 보안 업데이트의 지연 문제는 이러한 잠재력을 현실화하는 데 걸림돌이 될 수 있다. 향후 이러한 보안 문제가 어떻게 해결될지에 따라 라이트닝 네트워크의 미래가 결정될 것으로 보인다.