비트코인(BTC) 생태계가 AI 기반 감사로 인해 치명적 취약점이 대량으로 발생하면서 보안 리스크가 심각하게 부각되고 있다. 최근 가명 개발자 ‘칼레’의 보고에 따르면, 16명의 비트코인 개발자들이 참여한 공동 보안 감사에서 총 4,962건의 취약점이 발견됐으며, 그 중 85건이 ‘치명적’으로, 635건이 ‘고위험’으로 분류되었다. 이번 감사는 비트코인 지갑과 암호화 라이브러리, 인프라 전반에 AI 모델을 적용하여 진행됐다.
현재 상황에 대해 칼레는 “상태가 매우 심각하다”고 평가하며, 다수의 치명적 취약점이 프로젝트 운영자에 의해 빠르게 검증된 후, 로컬 테스트 환경에서 개념증명(PoC) 단계까지 완료된 뒤 보고되고 있다고 전했다. 그러나 짧은 시간 안에 대량의 보고가 이어지면서 관리를 맡고 있는 유지보수자들에게는 혼란이 가중되고 있는 실정이다. 그는 “현재 생태계는 상당한 혼란을 겪고 있으며, 이를 처리하는 데 어려움이 크다”고 사과의 뜻을 표했다.
AI 도구가 누구나 손쉽게 검증할 수 있도록 해주면서, 같은 취약점을 여러 그룹이 재차 발견할 수 있는 환경이 조성된 것이 빠른 공개의 배경이라고 그의 설명은 덧붙였다. 자동화 감사 시스템을 구축 중인 로브 해밀턴은 이 문제의 본질이 ‘발견’이 아닌 ‘전달’에 있다고 강조했다. 그는 “버그 발견은 더 이상 병목이 되지 않는다. 그러나 적절한 담당자에게 정보를 전달하는 것이 가장 어려운 일이며 현재 시스템은 여전히 초기 단계”라고 밝혔다.
이번 사태는 실제로 취약점이 악용된 사례가 이미 발생한 상황에서 불거졌다는 점에서 더욱 우려를 낳고 있다. 예를 들어, 7월 30일부터 시작된 ‘콜드카드’ 지갑 사건에서는 결함이 있는 펌웨어로 생성된 시드를 이용해 최대 1억1400만 달러(약 1,616억 원)가 탈취됐다. 이 버그는 2021년부터 존재한 것으로, 취약한 키 범위를 알고 있다면 물리적 접근 없이도 공격이 가능했던 것으로 알려졌다.
이와 같은 AI를 활용한 취약점 발견은 이미 다양한 업계로 확산되었다. 앤트로픽은 최근 비공식 모델이 27년 동안 발견되지 않았던 소프트웨어 버그를 단 50달러 미만의 비용으로 찾아냈다고 보고했다. 이 취약점은 은행 연결, 거래소 로그인 및 인터넷 서버 보안에 사용되는 암호화 소프트웨어와 관련이 있다고 전해졌다. 구글 위협 인텔리전스 팀 역시 AI가 규명한 취약점을 기반으로 범죄 조직의 공격 준비를 적발한 사례를 보고했다.
비트코인 생태계는 현재 ‘속도’와 ‘통제’ 사이의 균형을 시험받고 있는 상황이다. AI가 보안 패러다임을 전환시키는 가운데, 취약점 대응 체계와 책임 구조를 어떻게 재정립할지가 향후 시장 신뢰를 좌우할 중요한 변수로 자리매김할 것으로 보인다. 투자자와 사용자들은 지갑 및 라이브러리의 업데이트 상태를 반드시 확인해야 하며, 오픈소스 프로젝트의 유지보수 역량이 중요하게 평가될 것이다. AI를 통한 보안 감사 경쟁이 본격화됨에 따라, ‘대응 속도’가 프로젝트 신뢰도를 좌우하는 결정적 요소로 부각되고 있다.
