비트코인 코어, 수천 개 노드가 Tor 상의 낯선 이를 신뢰하게 만든 버그 공개
BTCThe flaw was fixed in October 2025 and kept quiet until Tuesday. It came out alongside a high-severity bug that could stop a miner from producing blocks until someone restarted it.
Tor를 통해 연결된 낯선 이들이 소프트웨어가 이들을 신뢰할 수 있는 컴퓨터로 간주함에 따라 수천 개의 비트코인 노드의 스팸 및 개인정보 보호 방어를 우회할 수 있습니다.
비트코인 코어는 를 발표했습니다공식 보안 권고 화요일에, 수정 사항을 발표한 지 약 13개월 만에 이루어졌습니다. 해당 코드 변경은 2025년 9월부터 GitHub에 공개되어 있었으며, 제목에는 화이트리스트 권한이 들어오는 Tor 연결에는 적용되지 않아야 한다고 명시되어 있었습니다.
해당 결함은 화요일에 세 명의 개발자 중 한 명이 공개한 세 가지 결함 중 하나로, 모두 작년 10월에 릴리스된 업데이트에서 패치되었습니다. 다른 결함은 운영자가 노드를 재시작할 때까지 마이닝 노드가 블록을 생성하지 못하게 할 수 있습니다.
외부 방문자가 신뢰받는 존재가 된 방법
노드는 비트코인 거래를 검증하고 중계하며, 블록체인의 자체 사본을 보관하는 컴퓨터를 의미합니다. 일반적으로 연결된 컴퓨터들이 보낼 수 있는 트래픽의 양을 제한하여, 과도한 공격으로부터 스스로를 보호합니다.
비트코인 코어의 화이트리스트 설정은 운영자가 신뢰하는 연결, 예를 들어 로컬 네트워크 내 다른 컴퓨터에 대한 일부 제한을 완화합니다.
문제는 제공업체들이 비트코인 코어(Bitcoin Core)를 인터넷 주소를 숨기는 서비스인 토르(Tor)와 함께 번들로 제공하면서 발생했습니다. 들어오는 토르 연결은 로컬 토르 소프트웨어에서 오는 것으로 나타났습니다. 만약 해당 소프트웨어의 주소가 신뢰할 수 있는 범위 내에 있으면, 외부 방문자도 그 권한을 상속받게 되었습니다.
해당 조치로 인해 “수천 개의 접근 가능한 메인넷 노드가 모든 수신 Tor 연결을 화이트리스트에 등록”하게 되었다고 자문 보고서는 밝혔다.
마틴 줌산데(Martin Zumsande)와 앙투안 푸앙소트(Antoine Poinsot)가 2025년 9월 해당 문제를 보고했습니다. 코어 팀은 이를 중간 수준의 심각도로 평가했습니다. 화이트리스트 설정을 활성화하지 않은 노드들은 영향을 받지 않았습니다.
그 고위험 심각도 버그 노드가 블록체인의 경쟁 버전을 처리하는 방식과 관련되어 있습니다.
네트워크가 한 버전을 포기할 때, 폐기된 블록에서 발생한 거래는 대기 중인 결제 목록인 메모풀(mempool)로 다시 돌아올 수 있습니다.
비트코인 코어 28.0에 도입된 규칙은 복원된 거래 중 하나를 제거할 수 있으나, 이에 의존하는 거래들은 남겨둘 수 있습니다. 이로 인해 노드는 입력값이 누락된 결제를 포함하는 블록을 생성하려 시도할 것이며, 이로 인해 자체 유효성 검사에서 이를 거부할 수 있습니다.
영향을 받는 채굴 노드는 재시작 전까지 유효한 블록 템플릿을 생성할 수 없었습니다. 니클라스 괴게(Niklas Goegge)가 2025년 9월 26일 해당 결함을 보고했습니다. 권고문에서는 어떠한 공격도 보고되지 않았습니다.
그 세 번째 버그, 중간 등급으로 평가된 이 취약점은 악의적인 연결이 노드의 신규 블록 처리 작업을 10분간 지연시키도록 허용합니다. 빠른 블록 전달을 위해 선택된 세 개의 연결을 모두 제어하는 공격자는 이러한 방해를 무기한 반복할 수 있습니다. 또한 이번 권고문에서는 블록을 처리하는 특정 설정이 반복적인 지연의 또 다른 경로가 될 수 있음을 지적하고 있습니다.
Poinsot는 2025년 9월 19일에 Tor 문제에 대해 영향을 받은 소프트웨어 제공업체들에게 비공개로 경고했습니다. 화요일 발표된 권고문에는 해당 업체들의 이름이 명시되어 있지 않습니다.
자문이 1년 후에 나온 이유
Core는 일반적으로 중간 및 고위험 취약점의 세부 정보를 마지막 영향을 받은 릴리스가 지원 종료된 후 2주 후에 공개합니다. 이러한 지연은 운영자들이 자세한 설명이 제공되기 전에 수정 사항을 설치할 시간을 줍니다.
마지막으로 영향을 받은 릴리스 시리즈인 29.x는 10월 27일에 그 지점에 도달했습니다. 화요일은 그로부터 2주 후였습니다.
코인데스크가 이전에 보도했듯이, 개발자들 10월에 정책을 변경했습니다 AI 모델에 간단한 프롬프트를 통해 쉽게 재발견할 수 있는 결함에 대해 검사합니다. 해당 결함은 가능한 한 신속하게 패치된 릴리스와 보안 권고문을 받습니다. 화요일에 공개된 내용은 더 긴 일정에 따른 것입니다.
