비트코인 앱 수수료 취약점 2건…수정 버전은 7.0.4
제목 연관성·주요 수치·시장 영향·향후 전망을 기준으로 핵심 문장을 선별한 요약 브리핑입니다.
핵심 포인트
- bitcoinjs-lib에서 PSBT 거래 수수료를 실제보다 낮게 계산할 수 있는 취약점 두 건이 공개됐다.
- 비트코인(BTC) 앱이 부분 서명 거래의 수수료를 실제보다 낮게 계산할 수 있는 취약점 두 건이 공개됐다.
- 이용자가 앱의 계산값을 믿고 거래를 승인하면 예상보다 큰 채굴 수수료가 붙을 수 있다.
본문
bitcoinjs-lib에서 PSBT 거래 수수료를 실제보다 낮게 계산할 수 있는 취약점 두 건이 공개됐다. 비트코인(BTC) 앱이 부분 서명 거래의 수수료를 실제보다 낮게 계산할 수 있는 취약점 두 건이 공개됐다. 이용자가 앱의 계산값을 믿고 거래를 승인하면 예상보다 큰 채굴 수수료가 붙을 수 있다. bitcoinjs-lib 관리자는 10월 26일 공개한 두 보안 권고에서 취약점 모두를 심각도 ‘높음’으로 분류했다. 영향 범위는 이 라이브러리로 PSBT를 처리하면서 라이브러리의 수수료 계산이나 과도한 수수료 차단 기능에 의존하는 앱이다. BIP 174는 PSBT에 거래 입력이 지출할 이전 출력 정보를 담도록 규정하며, 서명자는 이 정보를 바탕으로 수수료를 계산해 이용자에게 보여줄 수 있다. 서명 과정은 실제 이전 거래의 값을 사용하지만 수수료 계산은 다른 기록에 적힌 낮은 값을 사용할 수 있다.
관리자가 제시한 재현 사례에서는 실제 수수료 9억 사토시가 라이브러리에서 200 사토시로 계산됐다.
이 수치는 취약점 재현 사례이며 이용자 피해액을 뜻하지 않는다. 관리자의 예시에서는 실제 수수료 9만1000 사토시가 1000 사토시로 표시됐다. 취약점 자체가 서명을 만들거나 승인 없이 비트코인을 옮기지는 않는다. bitcoinjs-lib 관리자는 같은 날 다른 보안 문제를 포함한 권고 15건을 공개하고, 버전 계열별 최신 수정판으로 5.2.3, 6.1.10, 7.0.5를 안내했다.