2023년 10월 21일, 비트코인 데이터 랩스의 사우라브 쿠마르가 발표한 연구에 따르면 8월 보안 공시에서 취약하다고 밝혀진 비트코인 라이트닝 노드 대부분이 아직 패치를 적용하지 않은 것으로 나타났습니다. 8월 11일에 표시된 550개의 공개 LND 노드 중 71%가 10월 13일 기준으로 여전히 영향을 받는 소프트웨어 라인을 사용하고 있었으며, 그 기간 동안 업그레이드한 노드는 겨우 10%에 불과했습니다. 이번 연구는 1년 이상 전부터 이용 가능한 수정에도 불구하고 라이트닝 네트워크 결제 인프라 보안이 지속적으로 지연되고 있음을 강조합니다.

BTC / USD
출처: CoinGecko. 참고용 가격입니다.

패치 채택이 오래된 수정에도 불구하고 낮은 수준을 유지하고 있습니다.

8월 공시에서는 LND 버전 0.19.0에서 해결된 6가지 취약점이 강조되었으며, 이는 공개 경고보다 446일 전에 릴리스되었습니다. 그럼에도 불구하고 표시된 노드의 3/4가 10월까지도 취약 코드를 실행하고 있었습니다. 쿠마르가 814일간의 공개 네트워크 그래프 스냅샷을 분석한 결과, 노드가 개발자보다 뒤처지는 경우가 많으며, LND 0.19에서 0.21 사이 릴리스의 중간 마이그레이션 기간은 88일로 나타났습니다.

배포 채널이 업그레이드 시점을 좌우합니다.

연구에 따르면 가장 큰 업그레이드 물결은 비트코인 노드 소프트웨어를 번들링하는 인기 플랫폼 Umbrel의 릴리스와 일치했습니다. 각 물결은 262~385개의 노드를 포함했으며, 해당 노드의 87%가 Umbrel 릴리스 후 48시간 이내에 업데이트된 소프트웨어 기능을 방송했습니다. 그러나 Umbrel은 상위 릴리스 이후 19~41일에 새로운 LND 버전을 배포하는 경우가 많아 패치 가용성과 실제 적용 사이에 추가 지연이 발생했습니다.

보안 경고만으로는 업그레이드를 촉진하지 못했습니다.

9건의 LND 취약점 공시 전후로 쿠마르는 노드가 영향을 받는 소프트웨어 라인에서 벗어나는 속도가 통계적으로 유의미하게 가속화되지 않았다고 관찰했습니다. 작은 규모의 지역적 대응이 없지는 않겠지만, 데이터는 경고 자체만으로는 광범위한 패치를 유도하기에 충분하지 않음을 시사합니다.

다음에 주목할 사항

향후 연구에서는 Umbrel과 같은 플랫폼을 이용하는 노드 운영자와 수동 업데이트를 하는 운영자를 구분하고, 자동 업데이트 메커니즘이 격차를 메울 수 있는지를 파악해야 합니다. 라이트닝 네트워크의 향후 릴리스와 배포 관행의 변화를 모니터링하는 것이 생태계가 보안 취약점에 대한 대응을 개선할 수 있는지를 평가하는 핵심이 될 것입니다.