공격자들이 이전 버전의 BTCPay 서버 인스턴스에 관리자 권한으로 접근하여 핫월렛을 모두 탈취하였으며, 문제의 근원은 8월에 배포된 패치 이전의 결함인 것으로 추정됩니다.
피해는 업데이트하지 않은 운영자에게 발생합니다. 팀은 아직 전체 손실 규모를 공개하지 않았습니다. BTCPay 서버는 가맹점이 직접 운영하여 비트코인을 받을 수 있는 무료 오픈소스 결제 처리 시스템입니다. 핫월렛을 사용하는 경우, 서버가 프라이빗키를 직접 보관하여 운영자가 매 거래마다 서명하지 않아도 소프트웨어가 송금을 처리할 수 있습니다. 그 결과, 해당 서버에 관리자 권한으로 접근할 수 있는 사람은 누구나 코인을 이동시킬 수 있습니다.
공격자들은 어떤 버전을 노렸습니까?
BTCPay 서버 팀은 11월 1일 늦게 알림을 처음 발표했습니다. 모든 운영자에게 조사가 끝날 때까지 인스턴스를 종료하라고 요청하였습니다.
이후 공지에서 범위가 더 명확해졌습니다. 공격은 2026년 7월 23일에 출시된 2.4.1 버전 및 그 이전 버전을 대상으로 삼았습니다. 한편, 팀은 현재의 2.4.7 버전에 대한 탈취 보고는 신뢰할 만한 것이 없다고 밝혔습니다.
📢 Our incident response investigation identified an attack vector targeting instances running versions 2.4.1 (Jul 23, 2026) or older.
— BTCPay Server (@BtcpayServer) November 2, 2026
We have no credible reports of hot wallet drains for users running the latest 2.4.7 release. We again urge everyone to keep their BTCPay Server… pic.twitter.com/gYxK4Bb7fc
창립자인 니콜라스 도리어가 밝힌 바에 따르면, 공격자는 영향을 받은 서버에서 관리자 권한으로 로그인하였습니다. 그러나 팀은 아직 그 방법을 파악하지 못했습니다. 현재까지 조사에서 2.4.2 버전 이전에 존재하던 취약점의 흔적이 발견되었습니다.
이번 침해는 지난 3개월 동안 최소 두 번째로, 2.4.2 버전보다 오래된 BTCPay 서버 인스턴스에서 자금이 탈취된 사례입니다. 2.4.2 버전은 8월에 치명적인 취약점이 패치되어 원격 공격자가 라이트닝 노드 자격 증명을 획득하고 연결된 월렛에서 자금을 탈취할 수 있었던 문제를 해결했습니다.
그 당시에도 해당 버그는 이미 실제로 악용되고 있었습니다.
BTCPay 서버 핫월렛은 위험을 감수할 가치가 있습니까?
호스팅 제공업체들도 신속하게 대응하였습니다. 루나노드 등 일부 업체들은 구버전 공격을 막기 위해 고객 인스턴스를 자동으로 중지시킨 것으로 팀은 파악하고 있습니다.
도리어는 본인도 핫월렛을 사용하는 2.4.7 버전을 운영하고 있습니다. 그럼에도 불구하고, 창립자는 어떤 서버에도 큰 금액을 보관하지 말라고 경고했습니다.
핫월렛에 감당할 수 있는 금액 이상을 넣지 마십시오. 같은 일이 재발하지 않는다는 보장을 할 수 없습니다.
니콜라스 도리어, X
이번 사건은 자체 운영되는 비트코인 인프라 전반의 더 넓은 경향과 일치합니다. 코어 라이트닝은 업데이트되지 않은 노드를 노리는 공격자에 대해 최근 경고한 바 있습니다. 두 사례 모두, 공격이 있기 전에 이미 보안 패치가 존재했으므로, 가장 취약했던 부분은 한 번 BTCPay 서버 인스턴스를 설치하고 단 한 번도 업데이트하지 않은 운영자였습니다.
kr.beincrypto.com 에서 Phil Haunhorst의 원본 기사 BTCPay 서버 안전한가…핫월렛 유출 조사 결과 읽기