이더리움 검증자 보상 탈취 가능 보안 취약점 발견…테쿠·베수 긴급 업데이트

이더리움(ETH) 검증자의 블록 보상이 공격자에게 탈취될 수 있는 보안 취약점이 발견되면서 주요 클라이언트 개발팀이 보안 업데이트를 배포했다.

29일(현지시간) 코인데스크에 따르면 이더리움 클라이언트 테쿠(Teku)와 베수(Besu)는 인도 디지털 인증기관 이무드라(eMudhra)의 인증서와 관련된 보안 취약점에 대응하기 위해 각각 26.10.3과 26.10.2 버전을 출시했다. 이번 업데이트는 도커(Docker) 이미지에서 이무드라 관련 인증서에 대한 신뢰를 제거하는 것이 핵심이다.

문제는 지난 17일 이무드라의 중간 인증기관 8곳에서 사용하는 개인키가 충분한 무작위성 없이 생성된 사실이 확인되면서 드러났다. 해당 개인키는 공개된 인증서만으로도 추정할 수 있어 공격자가 정상적인 인증서로 위장한 가짜 인증서를 발급할 가능성이 있었다. 이후 주요 웹브라우저는 관련 인증서를 차단했고, 이무드라도 해당 인증서를 폐기했다.

이 취약점은 이더리움 검증자의 보상 탈취로 이어질 가능성이 있다. 공격자가 검증자와 외부 서비스 사이의 통신을 가로채 정상적인 서비스로 위장하면 블록 생성 수수료가 공격자의 주소로 지급되도록 유도할 수 있기 때문이다. 특히 검증자의 개인키를 별도로 관리하는 외부 서명 서비스가 위조될 경우 보상 수령 주소를 변경하는 서명이 악용될 위험이 있는 것으로 분석됐다.

테쿠와 베수가 사용하는 프로그래밍 언어 자바(Java)는 기본 설정에서 인증서 폐기 여부를 확인하지 않는다는 점도 문제로 지목됐다. 이에 따라 웹브라우저에서 관련 인증서가 차단된 이후에도 일부 테쿠 도커 환경에서는 해당 인증서를 계속 신뢰하는 문제가 발생했다.

다만 현재까지 실제 공격이나 자금 탈취 사례는 보고되지 않았다. 테쿠 개발팀은 보안 권고문을 통해 "이더리움 메인넷에서 기본 설정으로 운영되는 테쿠 노드는 영향을 받지 않으며 별도의 조치가 필요하지 않다"고 밝혔다.

개발팀은 도커를 사용하지 않고 테쿠나 베수를 직접 실행하는 운영자에게 자바 환경을 별도로 업데이트할 것을 권고했다. 특히 지원이 종료된 자바 26 버전은 보안 패치가 제공되지 않아 자바 25로 이전해야 한다고 설명했다.