두 라이브러리 버그로 비트코인 앱이 과도한 수수료 지급 위험에 노출
한 보고서에 따르면 PSBT를 가져오는 앱이 취약한 두 라이브러리 위에 구축될 경우 채굴자 수수료를 잘못 계산하고 과도한 수수료 경고를 놓칠 수 있다.
CryptoSlate 보도에 따르면 결함이 있는 두 라이브러리에 의존하는 비트코인 애플리케이션은 채굴자 수수료를 얼마나 지급하는지 잘못 판단할 수 있다. 이 문제의 핵심은 외부 소스에서 부분 서명된 비트코인 거래(PSBT)를 받아들이는 소프트웨어에 있다.
영향을 받는 구성에서는 애플리케이션의 수수료 회계가 잘못된 수치를 산출하고, 비정상적으로 큰 수수료를 표시하도록 설계된 기존 보호 장치가 작동하지 않는다. 실제 결과는 사용자나 서비스가 경고 없이 의도한 것보다 훨씬 많은 수수료를 지불하는 거래를 승인할 수 있다는 것이다.
문제가 있는 지점
PSBT는 거래가 최종 확정되어 브로드캐스트되기 전에 지갑, 서명 장치, 코디네이터 간에 거래를 전달하는 표준 형식이다. 가져오는 소프트웨어가 입력과 출력의 차액을 자체적으로 계산하는 경우가 많기 때문에, 이 회계의 오류는 곧바로 수수료 오류로 이어진다.
- 결함 있는 동작의 원인으로 두 가지 별개의 라이브러리 버그가 지목된다
- PSBT를 가져오면 잘못된 수수료 계산으로 이어질 수 있다
- 그 결과 과도한 수수료 경고가 우회될 수 있다
- 영향받는 라이브러리, 버전 및 패치에 대한 세부 정보는 보고서의 초기 요약에 포함되지 않았다
검토된 자료에서 해당 보고서는 손실 규모를 정량화하지 않았고, 어떤 프로젝트가 취약한 코드에 의존하는지도 밝히지 않았다. PSBT를 처리하는 팀, 즉 지갑 제공업체, 코디네이터, 서명 서비스는 자체 의존성을 감사해 노출 여부를 확인해야 한다.
비트코인에서는 거래가 확인되면 되돌릴 수 없기 때문에 수수료 처리 버그의 파급 효과가 크다. 이런 종류의 보안 공개는 일반적으로 유지관리자가 패치를 배포하고 하위 프로젝트가 버전을 고정하거나 업그레이드하도록 촉구하지만, 이번 사안에서는 어떤 해결 일정도 확인되지 않았다.