BTCPay Server

1.주요 동향#

1.1.2026년 11월 핫월렛 탈취 경보

BTCPay Server 프로젝트는 2026년 11월 1일 X에서 여러 서버의 핫월렛이 무단 공격자에게 털렸다는 보고를 받았다고 알렸다. 운영자에게는 ./btcpay-down.sh로 서버를 내리고 조사가 끝날 때까지 꺼 두라고 권고했다. 더디파이언트에 따르면 경보는 영향받는 버전을 특정하지 않았고 패치도 발표하지 않았다.

원인, 피해 서버 수, 피해액은 공개되지 않았다. 프로젝트는 이번 공격이 10월 29일 수정한 취약점과 관련이 있는지도 밝히지 않았다. 2026년 11월 2일 오전(한국시간) 현재 조사 결과나 해제 공지는 확인되지 않았다.

1.2.2026년 10월 긴급 수정

프로젝트는 2026년 10월 29일 2.4.7을 내놓았다. 릴리스 노트는 외부 스캐너 보고서에서 나온 보안 결함 85건(치명 1, 높음 13, 중간 52, 낮음 19)을 고쳤다고 적었다.

1.3.2026년 8월 LND 자격증명 취약점

위 경보와 별개의 사건이다. 프로젝트는 2026년 8월 7일 보안 공지에서 2.4.2 미만 버전의 취약점으로 인증 없는 원격 공격자가 라이트닝 구현체 LND의 .macaroon 자격증명 파일을 얻을 수 있고, 실제 악용으로 이용자 자금이 탈취됐다고 밝혔다. LND를 쓰는 운영자에게는 2.4.2와 LND 0.21.1로 올리고 자격증명을 교체하라고 권고했다. 더디파이언트는 하드웨어 지갑 제조사 Foundation 등의 노드가 털렸다고 보도했다.

10월 30일 갱신된 이 공지는 BTCPay Server의 온체인 지갑(핫월렛 포함)은 영향이 없고, LND 자체 온체인 지갑의 자금은 위험할 수 있다고 적었다. 이 설명은 8월 취약점에 관한 것이며 11월 1일 경보 이전에 나왔다. 초기 공지는 온체인 자금을 옮기라고 안내했으나 이후 검토에서 LND만 영향을 받는 것으로 범위를 좁혔다.

BTCPay Server는 2.4.1 이하 버전 인스턴스를 겨냥한 공격 경로가 발견됐다고 밝혔으며, 2.4.1은 2026년 7월 23일 출시된 버전이다. 현재 최신 버전은 2.4.7이다.

2026년 11월 보도에서 BTCPay는 비트코인 가맹점들에 핫월렛을 교체하라고 권고했다.

2026년 11월 2일 보안 공지에서 BTCPay Server는 공격 대상이 2.4.1 및 이전 버전이라고 밝혔으며, 경고 시점에 2.4.2 이상 서버에서는 공격 영향이 확인되지 않았다고 설명했다.

2.연표10건

1. 2026.09출시BTCPay Server 2.4.4는 새 LND 지갑마다 무작위 비밀번호를 생성하고 과거 공용 기본 비밀번호를 시작 과정에서 변경하도록 했다.[10]
2. 2026.09사건BTCPay 2.4.4 업데이트…외부 공개 LND API 봇 탐색[11]
3. 2026.10출시BTCPay Server 2.4.5는 라이트닝 연결·LNURL 요청·인보이스 알림 주소·웹훅의 사설 네트워크 요청을 기본 차단하고, 초과 결제분 환불 승인 권한을 강화했다.[12]
4. 2026.11사건8월 7일 공지에서 BTCPay Server는 2.4.2 이전 버전의 취약점이 실제 공격에 악용돼 이용자 자금 탈취가 발생했다고 밝혔다. 10월 30일 갱신 공지에서는 자사 온체인 지갑과 핫월렛은 이 취약점의 영향을[13]
5. 2026.11사건BTC페이 서버 취약점 악용 확인…자체 온체인 핫월렛은 영향 없어[14]
6. 2026.11사건BTCPay Server는 X 게시물에서 여러 인스턴스의 핫월렛이 미승인 공격자에 의해 비워졌다는 보고를 받았다고 알리고, 조사 완료 때까지 운영자에게 서버 중단을 권고했다.[15]
7. 2026.11사건핫월렛 무단 출금 신고 뒤 운영자들에게 조사 완료 때까지 서버 중단이 권고됐다. 창립자는 신고 사례가 2.4.2 이전 버전과 관련된 것으로 보인다고 밝혔다.[16]
8. 2026.11사건핫월렛 탈취 신고에 BTCPay Server 운영자 서버 중단 요청[17]
9. 2026.11사건2026년 10월 29일 공개된 2.4.7 버전은 스캐너 보고서 기준 발견 항목 85건을 수정했다. 프로젝트는 2026년 11월 2일 공개한 사고 공지에서 공격 대상이 2.4.1 이하 서버였으며, 2.4.2에서 수정[18]
10. 2026.11사건2026년 11월 1일, BTCPay Server는 2.4.1 이하 버전 서버의 비트코인·라이트코인 핫월렛에서 자금 도난 신고를 받았다고 밝혔다. 공지에 따르면 8월 7일 2.4.2에서 수정된 취약점이 다른 방식으로[19]