비트코인 (BTC) 핵심 개발자들이 AI 기반 보안 감사 후 단 하루 만에 치명적 결함 85건을 포함한 총 4,962건의 취약점을 확인했다고 밝혔다. 점검 대상은 390개 프로젝트에 달했다.
핵심 내용:
- 이번 감사에서 치명도 ‘크리티컬’ 85건, ‘하이’ 635건이 발견됐다.
- 자원봉사 인력 기준으로 1인당 시간당 치명적 버그 1건 수준의 속도로 적발되고 있으며, 컴퓨팅 비용만 하루 약 1만 달러에 이른다.
- 개발자들은 AI 덕분에 ‘발견’ 비용은 크게 낮아졌지만, 이제는 검증·전파(라우팅)가 새로운 병목으로 떠올랐다고 지적한다.
비트코인 대규모 버그 감사
이번 조정된 보안 점검에는 총 16명의 개발자가 참여해 지갑, 암호 라이브러리, 핵심 인프라 등 주요 비트코인 관련 소프트웨어에 AI 모델을 집중 투입했다. Cashu 이캐시 프로토콜을 주도하는 익명 개발자 Calle에 따르면, 이들은 390개 프로젝트에서 총 4,962건의 취약성 리포트를 제출했다. 관련 내용은 Calle의 X 게시글을 통해 처음 공개됐다.
Calle는 현재 상황을 “극도로 나쁘다(extremely bad)”고 표현했다. 프로젝트 운영자 다수는 보고된 치명적 취약점 상당수를 신속히 인정했으며, 연구자들은 로컬 테스트 환경에서 개념 증명(POC)을 재현한 뒤 유지관리자에게 세부 내용을 전달하고 있다. 감사 결과에서는 추가적으로 ‘하이’ 등급 취약점 635건도 드러나 자원봉사 팀과 프로젝트 운영진의 부담을 키우고 있다.
적발 속도도 이례적이다. 전체 인력을 감안하면 1인당 매시간 치명적 버그 약 1건을 찾아내는 수준이며, 이를 위해 소모되는 컴퓨팅 자원 비용이 하루 약 1만 달러에 이른다는 설명이다.
지나치게 많은 결과는 또 다른 혼선을 낳고 있다. Calle는 “자원봉사자들이 유효한 발견과 저품질 결과물을 일일이 가려내야 한다”며, 그럼에도 “유지관리자들이 상대적으로 저렴한 비용으로 검증할 수 있고, 공격자 역시 같은 취약점을 찾아낼 수 있는 만큼 보고를 빠르게 공개하는 쪽을 택하고 있다”고 말했다.
함께 읽기: 메타 ‘뮤즈 코드’, 100만 토큰당 1.25달러로 Anthropic·오픈AI 대비 파격가 제시
Calle가 던진 보안 경고
이번 자동화된 감사 환경을 구축 중인 **롭 해밀턴(Rob Hamilton)**은 “이제 취약점을 ‘찾는 일’ 자체는 더 이상 가장 큰 병목이 아니다”라고 진단한다. 그의 설명에 따르면, 지금 가장 어려운 과제는 ‘라우팅’, 즉 적절한 정보를 적시에 올바른 사람에게 전달하는 과정이다.
그는 “진짜 어려운 부분은 이것(발견 결과)을 적합한 주체에게 조율해 넘기는 일”이라며, 현재 체계를 “1세대에 불과한 초기 버전”으로 평가했다.
이 같은 판도 변화는 AI가 오래된 소프트웨어 결함을 찾아내는 데 필요한 시간과 비용을 극적으로 낮추고 있기 때문에 중요하다. Anthropic은 지난 4월, 제한된 모델을 사용해 27년간 방치돼 온 광범위 사용 소프트웨어의 취약점을 찾아냈으며, 비용은 50달러 미만에 그쳤다고 밝혔다.
구글(Google) 역시 5월 별도 사례를 공개했다. 자사 위협 인텔리전스 팀이 AI 모델을 통해 특정 취약점을 식별한 뒤, 이를 악용한 공격을 준비 중이던 범죄 조직을 포착했다는 내용이다. 해밀턴은 “공격자들 역시 이와 비슷한 도구를 이미 보유하고 있다”고 경고했다.
이번 감사는 최근 콜드카드(Coldcard) 비트코인 하드웨어 지갑 해킹 사건 이후에 이뤄졌다. 공격자들은 7월 30일부터 물리적으로 기기를 손대지 않고도 취약한 펌웨어를 악용해 최대 1억1,400만 달러 상당의 자산을 탈취한 것으로 추정된다. 문제의 버그는 2021년부터 코드 속에 잠복해 있었던 것으로 드러났다.
