비티씨페이 서버 2.4.1, 관리자 탈취로 최대 3BTC 유출

• 2.4.1 및 구버전 관리자 인증정보 유출, 최대 3BTC 등 대량 자금 피해 발생
• 최신 버전(2.4.7) 적용 시 추가 피해 보고 없음, 즉각 업데이트·점검 필요

2026년 11월 2일 Cointelegraph, Cryptopolitan, Bitcoin Foundation 등 복수 보도에 따르면, 오픈소스 비트코인 결제 솔루션 비티씨페이 서버(BTCPay Server) 2.4.1 및 이전 버전에서 치명적 보안 취약점이 악용되어, 최대 3BTC 등 수많은 인스턴스 운영자들의 관리자 권한이 탈취되고 핫월렛 및 라이트닝 네트워크(Lightning Network) 인증 정보가 대량 유출되는 사건이 발생했다. 공격자는 구버전 서버에서 관리자 계정에 직접 로그인하거나, 라이트닝 네트워크 지갑의 macaroon 인증 정보를 획득해 비트코인을 핫월렛에서 라이트닝 네트워크로 신속하게 이동시켰다.

이 취약점은 2026년 8월 7일 패치된 2.4.2 버전에서 보완됐으나, 이미 패치 이전부터 자금 탈취가 진행되었으며 피해 규모는 관리가 소홀하고 보안 패치가 미적용된 인스턴스에서 집중적으로 발생했다. 프로젝트 창립자 니콜라스 도리에는 "공격자가 관리자(admin) 권한으로 서버 내에 접근, 월렛을 전부 소진시켰다"고 밝혔으며, 다수 보고에 따르면 라이트닝 네트워크 인증 정보 유출도 연계되어 일부 피해금은 라이트닝 네트워크로 즉각 이동된 것으로 나타났다. 사용자별 직접 인스턴스 관리 방식에 따라 신속한 패치 미적용 사례가 많았고, 이 때문에 시스템 결함이 심각한 대규모 자금 유출로 이어졌다.

이번 사건의 피해 규모는 개별 인스턴스별로 최대 3BTC에 달하며, 최신 버전(2.4.7, 2026년 10월 29일 출시)에서는 추가 피해가 확인되지 않았다. 현재 비티씨페이 서버 프로젝트 팀은 운영자들에게 즉각적인 소프트웨어 업데이트와 로그 제공, 임시 서비스 중단 등 보안 조치를 강력히 요청하고 있다. 일부 호스팅 업체는 위험 인스턴스를 자동으로 중단하는 등 선제 대응을 시행하고 있다. 2026년 8월 발생한 라이트닝 네트워크 인증 정보 유출 사건과 이번 결함이 완전히 연결되었는지는 아직 확인되지 않았으나, 공통적으로 구버전 사용자가 집중적으로 피해를 본 것이 특징이다.

2026년 11월 2일 12시 08분(UTC) 기준, 비트코인은 7만 7898.05달러로 거래되고 있으며, 24시간 거래량은 152억 5061만 달러로 전일 대비 0.033% 증가했다.