비트코인 (BTC) 생태계 개발자들이 AI 기반 보안 점검 결과, 불과 24시간 남짓한 기간 동안 390개 프로젝트에서 총 4,962건의 취약점을 발견했고, 이 중 85건을 ‘치명적 결함’으로 분류했다고 밝혔다.
핵심 포인트:
- 치명도 ‘크리티컬’ 85건, ‘하이’급 고위험 취약점 635건 발견
- 자원봉사 인력 기준, 1인당 시간당 치명적 버그 1건가량 발견…
일일 연산 비용만 약 1만 달러 수준- AI 덕에 취약점 ‘탐지’ 비용은 떨어졌지만,
개발자들은 이제 ‘검증·전파’가 최대 난제라고 지적
비트코인 버그 일제 점검
이번 점검에는 16명의 개발자가 참여해 지갑, 암호화 라이브러리, 기타 인프라 전반을 대상으로 AI 모델을 동원한 집중 검사를 진행했다. 익명 개발자이자 Cashu 전자현금(e‑cash) 프로토콜을 만든 Calle에 따르면, 이들은 총 390개 프로젝트에서 4,962건의 이슈를 보고했다(Calle의 X 게시글).
Calle는 현재 상황을 “극도로 나쁘다(extremely bad)”고 표현했다. 다수 프로젝트에서는 ‘치명적’으로 분류된 리포트 상당수를 즉시 인정했고, 연구자들은 개별 프로젝트의 로컬 테스트 환경에서 개념증명(Proof of Concept, PoC)을 재현한 뒤 메인테이너에게 구체 내용을 전달했다. 이번 점검에서는 이 밖에도 635건의 고위험(high‑severity) 취약점이 추가로 드러나면서, 자원봉사자들과 프로젝트 운영진이 감당해야 할 업무 부담이 크게 늘었다는 평가다(관련 보도).
점검 속도 역시 이례적으로 빠르다. 참여 인력을 기준으로 하면 1인당 시간당 평균 치명적 버그 1건꼴로 보고서가 쏟아졌고, 이를 뒷받침하기 위한 컴퓨팅 자원 비용만 하루 약 1만 달러에 이르는 것으로 전해졌다.
문제는 ‘양(量)’이다. Calle는 자원봉사자들이 실제 취약점을 드러내는 유효 리포트와, AI가 만들어낸 저품질 결과물을 가려내느라 혼란을 겪고 있다고 전했다. 그럼에도 보고서를 빠르게 공개하는 이유에 대해 그는 “프로젝트 메인테이너 입장에서는 리포트 검증 비용이 상대적으로 낮은 데다, 공격자 역시 같은 취약점을 찾을 수 있기 때문”이라고 설명했다.
함께 읽기: 메타 Muse 코드, 100만 입력 토큰당 1.25달러로 Anthropic·오픈AI보다 저렴
Calle의 보안 경고
자동화된 점검 환경을 구축 중인 **롭 해밀턴(Rob Hamilton)**은 “이제 취약점을 ‘찾는 것’ 자체는 더 이상 병목이 아니다”라고 말했다. 그의 설명에 따르면 지금 가장 어려운 과제는 “발견된 이슈를 적절한 담당자에게 어떻게 ‘전달·할당(routing)’하느냐”다. 해밀턴은 현재 구축된 시스템을 “1세대 초벌 버전”에 가깝다고 평가하면서, “가장 난이도가 높은 부분은 올바른 정보를 올바른 사람에게 제때 전달하는 조정·협업 과정”이라고 지적했다.
이 같은 판도 변화의 배경에는 AI가 기존 소프트웨어의 잠복 취약점을 찾아내는 데 필요한 시간과 비용을 크게 낮췄다는 점이 자리한다. Anthropic은 지난 4월, 제한된 권한의 모델만으로도 광범위하게 사용되는 소프트웨어에서 27년간 숨어 있던 버그 하나를 찾아냈으며, 그 비용이 50달러 이하에 불과했다고 공개했다.
**구글(Google)**도 올 5월 별도의 사례를 보고했다. 구글 위협 정보
팀은 AI 모델이 찾아낸 취약점을 기반으로, 사이버 범죄조직이
실제 공격을 준비 중인 정황을 포착했다는 것이다.
이미 공격자 측 역시 이와 유사한 AI 도구를 활용하고 있다는 분석이
뒤따른다.
이번 대규모 점검은 최근 발생한 Coldcard 비트코인 하드웨어 지갑 도난 사건과도 맞물린다. 지난 7월 30일 처음 알려진 해당 사건은, 공격자가 기기를 직접 손에 넣지 않고도 결함이 있는 펌웨어를 악용해 자금을 탈취한 사례로, 피해 규모는 최대 1억1,400만 달러에 이른 것으로 추산된다. 문제가 된 근본 버그는 2021년부터 잠복해 온 것으로 드러났다.
