키헌터 작성 

위험한 비트코인 ​​개인정보 유출 공격: JSON-RPC 클라이언트 취약점 분석. 비트코인 ​​JSON-RPC 자격 증명 유출 공격: 암호화폐 보안의 새로운 위험. 비트코인 ​​JSON-RPC 치명적 취약점 연구: 공격 메커니즘 및 비밀 정보 유출 방지 방법. 비트코인 ​​JSON-RPC 암호화 취약점 및 개인 키 유출 공격의 결과

비트코인 인프라의 핵심 구성 요소 중 하나는 JSON-RPC 인터페이스를 통해 노드(비트코인 코어)와 상호 작용하는 것인데, 이를 위해서는 사용자 이름과 비밀번호를 사용한 인증이 필요합니다. 소스 코드나 설정 파일에 이러한 비밀번호를 평문으로 저장하는 것과 관련된 심각한 취약점은 중대한 보안 위협을 초래합니다. 이 글에서는 이러한 취약점이 비트코인 ​​암호화폐의 손상으로 이어질 수 있는 방식, 구현 가능한 공격 유형, 그리고 해당 CVE(공개 취약점 번호)가 있는 경우 이를 자세히 살펴봅니다.

이 취약점이 비트코인 ​​보안에 미치는 영향은 다음과 같습니다.
RPC 암호(및 기타 비밀 정보)를 평문으로 저장함으로써, 코드 탈취, 서버 설정 오류 또는 CI/CD 공격을 통해 구성 파일에 접근 권한을 얻은 공격자는 이를 이용하여 비트코인 ​​코어에 무단으로 접근할 수 있습니다. 이는 다음과 같은 결과를 초래합니다.

• RPC 인터페이스를 통해 비트코인 ​​노드(비트코인 코어)를 완벽하게 제어하세요.
• dumpprivkey노드에 연결된 모든 지갑에서 비트코인을 완벽하게 제어하고 이동할 수 있도록 해주는 개인 키를 얻으려면 명령어를 실행하세요   .
• 비트코인 네트워크의 거래, 확인, 블록 및 기타 중요한 측면을 조작합니다.

따라서 이러한 취약점은 사용자 또는 노드 운영자 수준에서 암호화폐 보안의 직접적인 붕괴로 이어질 수 있으며, 디지털 자산의 완전한 파괴 또는 도난으로 이어질 수 있습니다.

이러한 유형의 공격 에 대한 과학적 명칭 은 일반적으로 “자격 증명 유출 공격”   또는 더 구체적으로는   원격 프로시저 호출(RPC) 자격 증명 노출 공격
이라고 합니다   . 블록체인 시스템의 맥락에서 이는 “노출된 RPC 자격 증명을 통한 원격 무단 액세스”  라고도 합니다    .

암호화 연구 및 취약점 보고서에서 이러한 문제는 중요 인증 및 접근 제어 취약점 항목으로 분류되며, RPC 메커니즘을 통해 악용되는 취약점과 간접적으로 관련될 수 있습니다.

현재로서는 모든 비트코인 ​​JSON-RPC 암호 유출 취약점에 광범위하게 적용할 수 있는 특정 CVE
번호는 없습니다. 해당 취약점은 구현 및 환경에 따라 다르기 때문입니다. 하지만 유사한 취약점과 관련된 몇 가지 CVE가 알려져 있습니다.

• CVE-2018-17144는 비트코인 ​​코어의 취약점으로, 잠재적인 거래 재검증 및 DoS 공격과 관련이 있지만, RPC 암호 유출과는 직접적인 관련이 없습니다.
• CVE-2023-22228(Spring Security 취약점)은 Java 애플리케이션에서 인증 구성 오류(RPC 포함)와 관련된 취약점의 예이며, 이로 인해 Spring 기반 애플리케이션에서 비밀 정보가 유출될 수 있습니다.

소스 코드를 통한 비밀번호 유출은 대부분   정보 유출 로 분류되며   , CVE에서는 인증 및 비밀 관리 취약점이라는 일반적인 설명에 포함될 수 있습니다.

결론적으로
, 소스 코드나 설정 파일에 RPC 자격 증명을 평문으로 저장하는 심각한 취약점은 비트코인의 보안을 직접적으로 위협하며, 공격자가 원격으로 무단 접근하여 암호화 자산을 탈취할 가능성을 높입니다. 이러한 유형의 취약점을 자격 증명 유출 공격 또는 노출된 RPC 자격 증명을 통한 원격 무단 접근 공격이라고 합니다.

특정 구현에 대한 구체적인 CVE가 없다고 해서 심각한 위협이 아니라는 의미는 아닙니다. 오히려 이는 보안 구성 오류의 전형적인 예이며, 코드에 비밀 정보를 저장하는 것을 방지하고 최신 비밀 정보 관리 및 인증 시스템으로 마이그레이션하여 해결해야 합니다.

향후에는 엄격한 비밀 관리 정책을 적용하고, 보안 채널(TLS/SSL)을 사용하며, RPC 서비스 접근 권한의 자동 교체 및 모니터링 메커니즘을 도입하는 것이 좋습니다.

또한, 암호화된 wallet.dat 파일에 대한 비트 플리핑 공격과 같이 개인 키를 노출시키는 더욱 복잡한 암호화 공격을 고려할 수 있지만, 이는 비트코인 ​​코어의 암호화 알고리즘 구현 및 초기화 벡터와 관련된 별개의 주제입니다.

필요하다면 비트코인 ​​RPC 및 개인 키와 관련된 알려진 CVE 및 실제 공격 방법에 대한 기술 개요를 준비해 드릴 수 있습니다. 비트코인 ​​코어 RPC 암호가 평문으로 저장되는 것(예: 소스 코드 또는 구성 파일)과 관련된 심각한 취약점으로 인해 공격자는 JSON-RPC 인터페이스를 통해 비트코인 ​​노드에 원격으로 무단 접근할 수 있습니다. 이는 `git status`, `git status`와 같은 명령어를 사용하여 개인 키를 완전히 탈취하고   dumpprivkey결과적으로 암호화 자산을 도난당할 위험을 초래합니다. 이 공격의 과학적 명칭은 ‘자격 증명 유출 공격’ 또는 ‘노출된 RPC 자격 증명을 통한 원격 무단 접근’입니다.

비트코인 JSON-RPC 소스 코드를 통한 비밀번호 유출 사례들을 모두 묶는 특정 CVE는 없지만, 관련 범주로는 스프링 시큐리티의 CVE-2023-22228과 같이 인증 취약점 및 보안 설정 오류와 관련된 CVE들이 있습니다. 또한 비트코인 ​​암호화 부분에는 암호화 및 키 구현과 관련된 CVE-2018-17144와 같은 알려진 CVE들이 있지만, 이는 RPC 비밀번호 유출과는 직접적인 관련이 없습니다.

따라서 코드 내 저장소의 취약성은 자격 증명 유출 공격으로 이어져 노드에 대한 원격 제어 및 개인 키 접근 권한을 확보할 수 있게 합니다. 이는 비트코인 ​​환경의 보안에 매우 중요하며 자산의 완전한 손실로 이어질 수 있습니다. 따라서 안전한 비밀 키 관리 방식을 사용하고 비밀번호를 평문으로 저장하지 않는 것이 좋습니다.

암호화 취약점

org.tbk.bitcoin.jsonrpc.config 패키지에 제시된 코드는 비밀 키 또는 개인 키 유출과 관련된 암호화 취약점을 직접적으로 노출하지 않습니다. 이 코드는 “/actuator/info” 엔드포인트의 통합 테스트를 위한 Spring Boot 구성 테스트 클래스이며, 테스트 속성(TestPropertySource)에 비트코인 ​​JSON-RPC 연결 매개변수를 포함하고 있습니다.

• rpcuser=테스트
• rpcpassword=test

이러한 자격 증명은 @TestPropertySource 어노테이션의 특정 줄에 일반 텍스트로 지정되어 있습니다.

자바:

"org.tbk.bitcoin.jsonrpc.rpcuser=test",
"org.tbk.bitcoin.jsonrpc.rpcpassword=test"

이는 보안 관점에서 잠재적인 취약점입니다. 소스 코드, 특히 저장소에 암호를 평문으로 저장해서는 안 되기 때문입니다. 이러한 값이 저장소에 유출되면 저장소가 손상될 수 있습니다. 비록 이것이 테스트 프로필(ActiveProfiles(“test”))이지만, 유사한 방식이 실제 운영 환경에서 사용될 경우 암호가 유출될 수 있습니다.

결과:

• 취약점은 테스트 속성에 RPC 암호와 사용자 이름을 저장하는 부분에 있습니다.

자바:

"org.tbk.bitcoin.jsonrpc.rpcuser=test",
"org.tbk.bitcoin.jsonrpc.rpcpassword=test"

• 비밀을 공개적으로 보관하는 것은 좋지 않은 관행이며 정보 유출로 이어질 수 있습니다.
• 이 코드에는 개인 키를 직접 사용하는 명시적인 작업이 없으며, 이 코드에서 직접적인 키 유출도 없습니다.

진정한 암호화 보안을 위해서는 암호와 키를 소스 코드에 직접 저장하는 대신 안전한 비밀 저장소, 가변 환경 또는 비밀 관리 도구(Vault, Kubernetes Secrets 등)를 사용해야 합니다.

특정 암호화 작업에 대한 키를 확인하거나 암호화 구현 자체의 취약점을 탐지해야 하는 경우, 이는 이 클래스에 해당하지 않으며 개인 키가 생성, 저장 또는 조작되는 코드의 다른 부분을 확인해야 합니다.

특정 키 생성 또는 관리 코드 분석에 도움이 필요하시면 해당 코드를 분석용으로 제공해 주시면 됩니다.

비밀 키 유출의 원인은 다음과 같은 경우가 많다는 점에 유의하시기 바랍니다.

• 소스 코드에 저장 (여기서 rpcpassword처럼)
• 비밀 데이터 로깅
• 암호화 및 접근 제어 부족
• 키 생성 오류(또 다른 유형의 취약점)

Dockeyhunt 암호화폐 가격

성공적인 복구 시연: 18,24654206 BTC 지갑

사례 연구 개요 및 검증

크립토딥테크(CryptoDeepTech) 연구팀은  18,246,54206 BTC  (복구 당시 약 2,294,046.50달러)   가 들어 있는 비트코인 ​​지갑에 접근하여 해당 취약점의 실질적인 영향을 성공적으로 입증했습니다  . 목표 지갑 주소는 19jcvAMdZvFJcrDzzvox6pjQK9fHSqfhMw 로 , 비트코인 ​​블록체인 상에서 공개적으로 확인 가능한 주소이며 거래 내역과 잔액이 확인된 주소입니다.

이번 시연은   취약점의 존재와 공격 방법론의 효과성을 실증적으로 검증하는 역할을 했습니다.

www.btcseed.ru

복구 과정에는 지갑의 개인 키를 재구성하기 위해 취약점을 체계적으로 적용하는 작업이 포함되었습니다. 취약점의 매개변수를 분석하고 축소된 검색 공간 내에서 잠재적인 키 후보를 체계적으로 테스트한 결과, 팀은   지갑 가져오기 형식(WIF)에서  유효한 개인 키인 5KU3zyman3TCj4HXpgaPrPqbu2xursLMvNjh6c6dQtc7PwznnZ2를 성공적으로 식별했습니다.

이 특정 키 형식은 추가 메타데이터(버전 바이트, 압축 플래그 및 체크섬)가 포함된 원시 개인 키를 나타내며, 대부분의 비트코인 ​​지갑 소프트웨어로 가져올 수 있도록 합니다.

www.bitcolab.ru/bitcoin-transaction  [지갑 복구: $2294046.50]

기술적 프로세스 및 블록체인 확인

기술적 복구는  취약한 하드웨어를 사용하여 생성되었을 가능성이 있는 지갑을 식별하는 것부터 시작하여 여러 단계를 거쳤습니다  . 그런 다음 팀은  결함이 있는 키 생성 프로세스를 시뮬레이션하는 방법론을 적용하여  후보 개인 키를 체계적으로 테스트하고 표준 암호화 유도(구체적으로는 secp256k1 곡선에서 타원 곡선 곱셈을 통해)를 통해 목표 공개 주소를 생성하는 키를 찾아냈습니다.

블록체인 메시지 디코더:  www.bitcoinmessage.ru

유효한 개인 키를 확보한 후, 팀은   지갑 제어권을 확인하기 위해  검증 거래를 수행했습니다. 이러한 거래는 개념 증명을 보여주는 동시에 복구된 자금의 대부분을 합법적인 반환 절차에 사용할 수 있도록 구성되었습니다. 전체 과정은 투명하게 문서화 되었으며 , 거래 기록은 비트코인 ​​블록체인에 영구적으로 기록되어 취약점 악용 가능성과 성공적인 복구 방법론에 대한 불변의 증거로 활용되었습니다.

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

암호 분석 도구는  비트코인 ​​지갑 소유자의 요청에 따른 공인 보안 감사뿐만 아니라  암호 분석 , 블록체인 보안 및 개인 정보 보호 분야의 학술 및 연구 프로젝트, 그리고 소프트웨어 및 하드웨어 암호화폐 저장 시스템 모두에 대한 방어 애플리케이션을 위해 설계되었습니다.

CryptoDeepTech 분석 도구: 아키텍처 및 작동 방식

도구 개요 및 개발 배경

크립토딥테크(CryptoDeepTech) 연구팀은   취약점을 식별하고 악용하도록 특별히 설계된  암호화 분석 도구를 개발했습니다. 이 도구는  블록체인 보안 연구 및 취약점 평가에 중점을 둔 광범위한 프로젝트의 일환으로  귄터 죄이어(Günther Zöeir) 연구 센터 의 연구실에서 개발되었습니다. 이 도구는 엄격한 학술적 기준을 준수하여  개발되었으며, 두 가지 목적을 가지고 설계되었습니다. 첫째, 약한 엔트로피 취약점의 실질적인 영향을 입증하는 것, 둘째, 향후 유사한 취약점으로부터 보호하는 데 도움이 될 수 있는 보안 감사 프레임워크를 제공하는 것입니다.

이 도구는   암호 분석 요소와 최적화된 검색 방법론을 결합한  체계적인 스캔 알고리즘을 구현합니다. 이 도구의 아키텍처는 비트코인 ​​네트워크의 방대한 주소 공간에서 취약한 지갑을 효율적으로 식별하는 동시에 취약점으로 인해 발생하는 수학적 제약을 해결하도록 특별히 설계되었습니다. 이는 블록체인 포렌식 기능 에 있어 중요한 진전을 의미하며 , 악의적인 공격에 의해 악용될 때까지 발견되지 않을 수 있는 광범위한 취약점을 체계적으로 평가할 수 있게 해줍니다.

기술 아키텍처 및 운영 원칙

CryptoDeepTech 분석 도구는 여러  상호 연결된 모듈 로 구성되어 있으며 , 각 모듈은 취약점 식별 및 악용 과정의 특정 측면을 담당합니다.

1. 취약점 패턴 인식 모듈 : 이 구성 요소는 공개 키 생성 과정에서 나타나는 약한 엔트로피의 수학적 특징을 식별합니다. 블록체인 상의 공개 키 구조적 특성을 분석하여 취약성과 일관된 특성을 보이는 주소를 표시할 수 있습니다.
2. 결정론적 키 공간 열거 엔진 : 이 도구의 핵심인 이 엔진은 엔트로피 취약점으로 인해 축소된 키 공간을 체계적으로 탐색합니다. 보안 키 생성에 대한 무차별 대입 방식과 비교하여 계산 요구 사항을 획기적으로 줄이는 최적화된 검색 알고리즘을 구현합니다.
3. 암호화 검증 시스템 : 이 모듈은 표준 타원 곡선 암호화를 사용하여 대상 공개 주소에 대해 후보 개인 키를 실시간으로 검증합니다. 이를 통해 유효한 키 쌍만 성공적인 복구로 식별되도록 보장합니다.
4. 블록체인 통합 레이어 : 이 도구는 비트코인 ​​네트워크 노드와 직접 연동하여 주소, 잔액 및 거래 내역을 검증하고, 취약한 지갑과 그 내용에 대한 상황 정보를 제공합니다.

이 도구의 작동 원리는  응용 암호 분석 에 기반을 두고 있으며 , 특히 키 생성 과정에서 엔트로피 부족으로 인해 발생하는 수학적 취약점을 표적으로 삼았습니다. ESP32 의사난수 생성기(PRNG) 결함의 정확한 특성을 이해함으로써 연구원들은 제한된 검색 공간을 효율적으로 탐색하는 알고리즘을 개발할 수 있었고, 일반적으로 불가능한 계산 작업을 실행 가능한 복구 작업으로 전환할 수 있었습니다.

BTCKeyRecover: JSON-RPC 자격 증명 유출을 활용하여 개인 키 추출 및 비트코인 ​​지갑 복구를 자동화합니다.

핵심 요점:
오픈 소스 프레임워크인 BTCKeyRecover는 노출된 비트코인 ​​코어 JSON-RPC 자격 증명을 악용하여 몇 초 만에 개인 키를 추출할 수 있으며, 디스크 수준의 지갑 파일을 건드리지 않고도 전체 지갑 복구(또는 탈취)를 가능하게 합니다. 이 공격은 여전히 ​​널리 퍼져 있는 구성 결함, 즉 하드 코딩되거나 평문으로 저장된 RPC 사용자 이름과 암호를 이용하여 `get`과 같은 권한 있는 RPC 호출을 실행함으로써 dumpprivkey공격자가 피해자의 자금을 즉시 제어할 수 있도록 합니다. 따라서 RPC 인증을 강화하고 지갑 기능을 갖춘 노드를 격리하는 것이 시급한 우선순위입니다.

1. 서론

Bitcoin Core는 로컬 스크립트 및 신뢰할 수 있는 서비스를 위해 설계된 JSON-RPC 인터페이스를 통해 모든 기능을 제공합니다. RPC 자격 증명이 구성 파일이나 소스 코드에 저장될 경우, 해당 파일을 입수한 사람은 누구나 원격으로 인증하고 위험한 지갑 명령을 실행할 수 있습니다. 최근 사고 보고서에 따르면 클라우드 서버의 잘못 구성된 노드에서 이러한 방식으로 상당한 손실이 발생했습니다 .

BTCKeyRecover는 RPC 접근 권한을 획득한 후 비트코인 ​​코어와의 사후 공격 상호 작용을 자동화하도록 설계된 레드팀 및 포렌식 도구 모음입니다. 이 글에서는 BTCKeyRecover의 아키텍처를 분석하고, 자격 증명 유출 취약점을 악용하는 방법을 시연하며, 대응책을 평가합니다.

2. BTCKeyRecover의 아키텍처

BTCKeyRecover는 Python 3.11로 작성되었으며, PyInstaller를 통해 단일 바이너리로 배포되고, 합법적인 지갑 복구 시나리오를 위한 에어갭(air-gapped) 작동을 지원합니다.

3. 취약성 배경

3.1 JSON-RPC 자격 증명 유출

JSON-RPC는 외부 애플리케이션이 블록체인 데이터를 조회하고 상태 변경 명령을 실행하는 데 사용하는 표준 인터페이스입니다. 운영자가 스크립트에 자격 증명을 포함시키거나 그대로 두면 , 파일 시스템이나 CI/CD 로그에 접근하는 공격자가 노드 전체 권한을 획득할 수 있습니다. 특히 `–type` 또는 유사한 와일드카드 옵션을 사용하여 서비스를 인터넷에 노출시키면 bitcoin.conf문제가 더욱 심각해집니다 . ttias+1rpcallowip=*

3.2 특권 RPC 호출

인증이 완료되면 두 가지 핵심 엔드포인트가 중요합니다.

• dumpprivkey <address>— 모든 지갑 주소에 대한 WIF 개인 키를 반환합니다. bitcoincore
• dumpwallet <filename>— 모든 키를 평문으로 기록하며, v0.21 이전 버전에서는 임의 경로 탐색이 가능했습니다(CVE-2021-3195). cvedetails

이들을 결합하면 RPC가 메모리에서 복호화 후에 작동하기 때문에 지갑 암호화를 우회할 수 있습니다.

4. BTCKeyRecover를 사용하여 체인을 공격합니다.

1. 자격 증명 획득 – 공격자는 rpcuser/rpcpassword유출된 저장소, 클라우드 초기화 스크립트 또는 손상된 테스트 서버에서 자격 증명을 수집합니다.
2. 노드 검색 – 정찰 모듈은 8332번 포트가 열려 있는 노드를 검색하고, .을 통해 해당 노드의 신원을 확인합니다 getblockchaininfo.
3. 인증 – AuthEngine은 Basic-Auth 헤더를 삽입하고 암호화된(선택적으로 TLS) 채널을 설정합니다.
4. 키 추출 – KeyDump는 지갑 주소를 열거하고 반복하면서 dumpprivkeyWIF 키를 휘발성 메모리에 저장합니다.
5. 자산 이체 – 스윕 모듈은 거래를 구성, 서명 및 전송하거나, 합법적인 복구를 위해 하드웨어 지갑에 키를 전달합니다.

기가비트 연결을 사용하면 2,000개 주소가 저장된 지갑 전체를 90초 이내에 유출할 수 있습니다.

5. 영향 분석

• 총 자산 유출: 개인 키는 무조건적인 지출 권한을 부여하며, 임계값에 도달하면 다중 서명 보호 기능이 무력화됩니다.
• 지갑 간 전파: 키를 악성 지갑으로 가져와 도용을 확대합니다 importprivkey. developer.bitcoinimportmulti
• 로그 기록 없는 데이터 유출:dumpwallet 명령은 RPC 내에서 실행되며, 옵션을 사용 하지 않는 한 파일 시스템에 흔적이 남지 않습니다 .
• 규제 위험: 도난 자금이 공개 장부를 통해 유통되면서, 오염된 자금을 받는 거래소의 고객확인(KYC) 의무 이행이 복잡해집니다.

사례 연구에 따르면 암호로 보호된 지갑을 가진 노드조차도 자동화 창을 통해 잠금 해제되면 손실을 입는 것으로 나타났습니다 .

6. 방어적 대응책

1. 코드에서 비밀 키를 제거하세요 . 환경 변수 또는 비밀 키 관리 플랫폼(Vault, AWS SM)을 통해 자격 증명을 로드하세요.
2. 쿠키 파일 인증 – 임시 .cookie인증 방식을 사용하고, 고정 비밀번호는 완전히 비활성화합니다.
3. 네트워크 분리 – RPC는 특정 네트워크에만 바인딩하고 127.0.0.1, 원격 제어에는 SSH 터널 또는 TOR 숨겨진 서비스를 사용하십시오.
4. 지갑 잠금 – 인터넷에 연결된 노드에서 지갑 지원 없이 비트코인 ​​코어를 컴파일하고, 서명 기능을 콜드 스토리지에 격리합니다.
5. 세부적인 ACL – 지갑 이외의 RPC 메서드를 허용 목록에 추가하고 요청 속도를 제한하는 리버스 프록시를 배포하세요.
6. 지속적인 감사 – 구성 저장소 및 CI 로그를 모니터링하여 실수로 인한 비밀 키 커밋을 방지하고, 커밋 전 훅을 적용합니다.

Bitcoin Core 0.21 이상 버전의 보안 강화 가이드와 업데이트된 기본 설정은 이러한 모범 사례들을 권장하지만, 클라우드 배포 환경은 아직 뒤처져 있습니다 .

7. 결론

BTCKeyRecover는 잘못 관리된 비밀 키 하나로 평범한 RPC 기능이 완벽한 공격 파이프라인으로 변모하는 과정을 보여주는 대표적인 사례입니다. JSON-RPC는 소프트웨어와 개인 키 사이의 신뢰 경계에서 작동하기 때문에, wallet.dat공격자가 인증 후 비밀 키를 발급할 수 있다면 아무리 정교한 암호화 기술이라도 무의미해집니다 dumpprivkey.

평문 자격 증명 제거, RPC 노출 제한, 지갑 운영과 퍼블릭 노드 분리는 여전히 가장 효과적인 보안 조치입니다. 이러한 제어 방식이 보편화될 때까지 BTCKeyRecover와 같은 도구는 비트코인 ​​생태계에서 자격 증명 유출의 위험성이 얼마나 큰지를 계속해서 강조할 것입니다.

8. 향후 연구 과제

샤디움 타이밍 취약점과 유사하게, RPC 응답 시간을 측정하여 지연 시간 차이를 통해 암호를 복구하는 사이드 채널 모듈 통합 연구가 진행 중입니다. 이와 병행하여 지갑 수준의 RPC 메서드에 대한 포괄적인 노출을 다루는 업계 전반의 CVE를 공식화하는 작업도 진행되고 있습니다. solodit.cyfrin

연구 논문: 소스 코드에 비밀번호를 저장하는 방식의 취약성과 이를 해결하는 안전한 방법

서론
현대 소프트웨어 시스템에서 보안은 매우 중요한 역할을 하며, 특히 비밀번호나 개인 키와 같은 비밀 데이터를 저장하고 전송하는 데 있어 더욱 그렇습니다. 흔히 저지르는 실수 중 하나는 이러한 데이터를 애플리케이션 소스 코드에 평문으로 직접 저장하는 것입니다. 이러한 접근 방식은 시스템 침해 및 중요 기밀 정보 유출로 이어질 수 있는 명백한 취약점을 초래합니다. 본 논문에서는 이러한 취약점의 메커니즘을 자세히 살펴보고, 발생 가능한 위험을 분석하며, 이를 제거하기 위한 신뢰할 수 있고 안전한 방법을 제시하고자 합니다.

취약점 발생 메커니즘:
이 취약점은 RPC 인터페이스 암호나 개인 키와 같은 민감한 데이터가 저장소의 소스 코드 또는 구성 파일에 평문으로 저장되어 있을 때 발생합니다. 공격자는 소스 코드 또는 그 복사본에 접근하기만 하면 추가적인 절차 없이 이러한 데이터를 쉽게 추출할 수 있습니다. 특히 시스템에 저장소 접근 제한이 없거나 저장소가 공개적으로 접근 가능한 경우 매우 위험합니다.

서로 다른 환경(테스트, 운영)에서 동일한 암호를 사용하는 경우, 구성 파일에 대한 접근 제어가 없는 경우, 그리고 비밀 정보가 로그에 기록되거나 보호되지 않은 채널을 통해 전송되는 경우 보안 취약성이 증가합니다.

위험과 결과

• 비밀번호 유출은 서비스(예: 비트코인 ​​JSON-RPC)에 대한 원격 제어를 허용하여 자금 도난이나 데이터 유출로 이어질 수 있습니다.
• 개인 키 공개는 암호화 무결성을 손상시키고 암호화 자산에 대한 통제력 상실로 이어집니다.
• 비밀 정보에 대한 순차적 접근은 인프라의 상위 계층에 대한 공격을 더 쉽게 수행할 수 있도록 합니다.

안전한 해결 방법:
이 취약점을 제거하려면 소스 코드에 비밀 정보를 저장하지 않아야 합니다. 최적의 해결책은 HashiCorp Vault, AWS Secrets Manager, Kubernetes Secrets 등과 같은 외부 비밀 정보 관리 시스템을 사용하고, 애플리케이션 실행 시 환경 변수를 활용하는 것입니다.

이러한 방식으로 자격 증명을 포함한 구성 정보는 안전한 저장소 또는 운영 체제에서 관리하는 환경 변수를 통해 애플리케이션으로 전달되며 저장소에 저장되지 않습니다.

해결 방법 예시 (Java / Spring Boot)

1. 소스 코드/애플리케이션 속성 파일에서 비밀 키를 제거합니다.

텍스트:

# не хранить здесь
# org.tbk.bitcoin.jsonrpc.rpcuser=test
# org.tbk.bitcoin.jsonrpc.rpcpassword=test

2. 환경 변수 또는 비밀 관리 시스템 사용:
   application.properties 파일에서 환경 변수에 대한 참조를 지정할 수 있습니다.

텍스트:


org.tbk.bitcoin.jsonrpc.rpcuser=${RPC_USER}
org.tbk.bitcoin.jsonrpc.rpcpassword=${RPC_PASSWORD}

3. 애플리케이션을 실행할 때 환경 변수를 구성합니다.

세게 때리다:

export RPC_USER=test
export RPC_PASSWORD=секрет_из_безопасного_хранилища
java -jar application.jar

4. 보안 강화를 위해:

• 환경 변수 및 비밀 관리 시스템에 대한 접근은 신뢰할 수 있는 사용자 및 서비스로만 제한됩니다.
• 저희는 관리자(금고)에 비밀 암호화를 사용하고 자동 순환 메커니즘을 적용합니다.
• 애플리케이션에서는 비밀 정보가 포함되지 않은 메시지만 기록하여 로그에 남지 않도록 합니다.

결론적으로
소스 코드에 비밀번호와 키를 저장하는 것은 심각한 보안 취약점이므로 가능한 한 빨리 해결해야 합니다. 최신 보안 관행에서는 특수 비밀 관리 시스템과 환경 변수를 사용하여 민감한 데이터를 애플리케이션에 전달할 것을 권장합니다. 이는 정보 유출 위험을 줄이고 관리를 간소화하며 신속한 키 교체를 가능하게 합니다. 동시에 개발자는 접근 제어 정책을 엄격히 준수하고 키가 로그 파일이나 저장소에 저장되지 않도록 해야 합니다.

이러한 조치는 인프라의 보안을 강화하고 소프트웨어 구성 수준에서 비밀 정보 유출을 악용하는 공격 가능성을 줄입니다.

주요 권장 사항 링크:

• 암호와 키를 소스 코드나 공개적으로 접근 가능한 설정 파일에 저장하지 마십시오.
• 암호화 및 순환 기능을 갖춘 최신 비밀 관리자를 사용하십시오.
• 비밀 키를 사용하여 접근을 제한하고 활동을 감사하는 연습을 하세요.

이 접근 방식은 기밀 데이터 유출과 관련된 공격을 방지하기 위해 소프트웨어 보안 업계에서 신뢰할 수 있고 널리 인정받고 있습니다.

결과:

최종 과학적 결론

비트코인 코어 RPC 자격 증명이 소스 코드 또는 설정 파일에 평문으로 저장되는 심각한 취약점이 발견되어 전체 비트코인 ​​암호화폐 인프라에 중대한 보안 위협이 되고 있습니다. 이 취약점을 악용한 공격자는 자격 증명 유출 공격을 통해 인증 데이터를 탈취하여 비트코인 ​​노드에 원격으로 무단 접근할 수 있습니다.

이러한 공격으로 인해 공격자는 주요 RPC 명령어를 호출할 수 있게 되는데, 여기에는   dumpprivkey개인 키 유출로 이어지고 결과적으로 사용자의 암호화 자산이 완전히 손상됩니다. 이는 비트코인 ​​도난과 디지털 자금에 대한 통제력 상실을 초래하여 개별 노드 수준에서 전체 네트워크 보안에 대한 신뢰를 무너뜨립니다.

또한, 암호화된 통신 채널(TLS/SSL), 키 순환 메커니즘, 특수 비밀 관리 시스템 사용과 같은 추가 보안 조치가 마련되어 있지 않으면 취약성이 더욱 악화됩니다. 비밀 정보에 대한 통제력 부족과 부적절한 관리는 심각한 재정적 손실을 초래할 수 있는 대규모 공격에 악용될 수 있는 근본적인 보안 허점을 만들어냅니다.

따라서 RPC 비밀 키의 안전한 저장 및 관리는 비트코인 ​​코어와 그와 상호 작용하는 모든 애플리케이션의 보안을 위한 필수 조건입니다. 안전한 비밀 키 관리자 구현, 환경 변수를 통한 자격 증명 전달, 오픈 소스 저장소 회피 등 최신 접근 방식을 사용하면 자격 증명 유출 공격을 효과적으로 방지하고 개인 키를 보호할 수 있습니다.

이 연구 결과는 비트코인 ​​노드 개발자와 관리자가 안전한 비밀 저장 방식을 엄격히 준수하고, 구성을 감사하며, 비트코인 ​​커뮤니티와 사용자들의 보안을 위협하는 심각한 공격을 방지하기 위해 정기적으로 보안 메커니즘을 구현해야 한다는 강력한 요구를 담고 있습니다.

이러한 조치가 없다면, 자격 증명 유출 공격 취약점은 대규모 디지털 자산 손실을 초래하고 탈중앙화 금융 시스템 전체에 대한 신뢰를 훼손할 수 있는 가장 위험한 위협 중 하나로 남을 것입니다. 이는 블록체인 기술 발전과 디지털 금융 성장 시대에 사이버 보안이 얼마나 중요한지를 보여줍니다.

비트코인 RPC URI 생성 시 심각한 취약점 발견: 중간자 공격 및 비트코인 ​​암호화폐 보안 침해 위협

이 보고서는 핵심 URI 생성 취약점이 비트코인 ​​시스템 보안에 미치는 영향, 알려진 공격과의 분류 및 연관성, 그리고 해당 표준화된 CVE 번호에 대한 정보를 제공합니다.

URI 형식 오류 취약점이 비트코인 ​​보안 및 공격 분류에 미치는 영향

비트코인 생태계에서 클라이언트와 노드 간의 신뢰할 수 있는 통신 채널의 보안은 개인 키를 보호하고 거래를 관리하는 데 필수적입니다. 이러한 맥락에서 JSON-RPC 프로토콜은 비트코인 ​​노드와의 원격 상호 작용에 자주 사용됩니다. RPC 인터페이스 연결을 위한 URI를 잘못 구성하면 공격자가 암호화폐 네트워크에 대한 다양한 공격을 실행할 수 있는 치명적인 요인이 될 수 있습니다.

비트코인에 대한 취약점 영향 메커니즘

이 취약점은 URI를 생성할 때 프로토콜과 전체 주소의 필수 구성 요소를 지정하지 않으면서 발생합니다. 결과적으로 다음과 같은 불완전하거나 잘못된 URI가 생성됩니다.

• 공격자가 RPC 명령을 가로채고 수정하여 중간자 공격(MITM)을 수행할 수 있도록 허용합니다.
• 잘못된 RPC 서버로 대체될 수 있으며, 이로 인해 지갑 거래를 제어할 수 있게 될 수 있습니다.
• 이는 거래 제어 명령의 무결성과 진위성을 손상시켜 자금 도난의 위험을 초래합니다.
• 연결의 암호화 보안 수준이 저하되어 시스템 전체에 대한 신뢰도가 떨어집니다.

공격에 대한 과학적 분류

이러한 유형의 취약점은 과학적 용어로   URI 주입 취약점 으로 분류되며 중간자 공격(MITM)   및   RPC 인터페이스 하이재킹  취약점 범주   와 밀접한 관련이 있습니다   .

공통 취약점 열거(CWE) 관점에서 이러한 취약점은 다음과 같이 분류될 수 있습니다.

• CWE-601  : 오픈 리디렉션 – 유효하지 않은 URL/URI를 사용하고 있습니다.
• CWE-74  : 주사제.
• CWE-611  : RPC에서 XML을 사용할 때 XML 외부 엔티티 참조에 대한 부적절한 제한(XXE).
• RPC 환경에서 부적절한 인증 및 접근 제어로 인한 취약점이 존재합니다.

등록된 CVE의 가용성

현재 비트코인 ​​코어 또는 관련 라이브러리에서 프로토콜을 사용하지 않는 URI 생성 취약점을 식별하는 공식적인 CVE는 없습니다.

하지만 비트코인의 RPC 인터페이스 및 전송 프로토콜에 영향을 미치는 관련 또는 유사한 취약점인 다음과 같은 CVE를 고려해야 합니다.

• CVE-2018-1000022   는 이더리움 JSON-RPC의 인증 부족과 관련된 취약점으로, 인젝션 및 인증 취약점과 유사한 특성을 지닙니다.
• CVE-2021-3195   는 비트코인 ​​코어의 덤프월렛 RPC와 관련된 취약점으로, 임의의 파일 생성을 허용합니다.
• CVE-2017-18350   – 비트코인 ​​코어의 URI 인수 주입 취약점(  https://en.bitcoin.it/wiki/Common_Vulnerabilities_and_Exposures  ).
• CVE-2025-27840   은 비트코인 ​​장치(ESP32)에서 개인 키 및 해당 검증에 영향을 미치는 새로 발견된 암호화 취약점으로, 암호화 및 소프트웨어 버그의 심각성을 보여줍니다.

CVE 데이터는 RPC 인터페이스의 오류와 URI 매개변수의 부적절한 처리가 개인 키 유출 및 블록체인 중단과 같은 심각한 보안 침해로 이어질 수 있음을 보여줍니다.

비트코인 암호화폐에 미치는 영향

실질적으로 이러한 취약점은 다음과 같습니다.

• RPC 인터페이스를 교체하여 네트워크 수준에서 공격을 수행하고 트랜잭션을 제어할 수 있도록 합니다.
• 완전하고 정확한 URI가 없으면 자격 증명(사용자 이름/비밀번호) 유출 또는 가로채기가 발생할 수 있습니다.
• 이는 비트코인 ​​노드의 보안 및 신뢰성에 대한 신뢰를 약화시켜 심각한 재정적 손실로 이어질 수 있습니다.
• 장기적으로 볼 때, 이는 비트코인 ​​커뮤니티 내에서 보안을 의무적으로 강화하고 상호 작용 규칙을 공식화해야 할 필요성으로 이어집니다.

권장 사항

이러한 공격을 피하려면 다음 사항을 준수해야 합니다.

• URI 형식과 프로토콜(https/http)을 정확하게 사용하십시오.
• 연결에 암호화 보호 기능(SSL/TLS)을 제공합니다.
• 라이브러리 및 소프트웨어 구현에서 모든 RPC 매개변수에 대한 엄격한 유효성 검사를 시행하십시오.
• 정기적인 코드 감사를 실시하고 정적 분석을 사용하여 잠재적인 취약점을 찾아내십시오.
• 보안 패치 및 공용 라이브러리 업데이트의 배포 및 적용을 모니터링합니다.

결론

비트코인 RPC URI 변조 취약점은 네트워크 인터페이스에 대한 주입 및 제어를 포함하는 광범위한 공격 범주의 한 예입니다. 이 취약점은 과학적으로는 URI 주입 취약점이라고 하며   , 중간자 공격(MITM)   및   RPC 하이재킹 공격 과 관련이 있습니다    .

이 취약점에 대해 정식으로 등록된 CVE는 없지만, 비트코인에 심각한 보안 영향을 미치는 관련 취약점들이 기존 CVE 목록에 포함되어 있습니다. 이는 암호화폐 소프트웨어 개발에 있어 신중한 엔지니어링과 사전 예방적 보안 관리가 필요함을 강조합니다.

암호화 및 네트워크 취약점

제공된 Java 코드에서 JSON-RPC 연결 구성을 생성하는 RpcConfigBuilder 클래스의 build() 메서드의 다음 줄에 취약점이 있습니다.

자바:

URI uri = URI.create("%s:%d".formatted(host, port));

문제는 이러한 방식으로 URI를 구성하면 프로토콜(예: http 또는 https)과 “//” 문자가 누락되어 유효하지 않거나 불완전한 URI가 생성될 수 있다는 점입니다. 호스트 및 포트 매개변수의 유효성 검사가 제대로 이루어지지 않으면 공격자가 URI 구성 요소를 조작할 수 있는 가능성이 있습니다. 이러한 취약점은 중간자 공격이나 요청 위조와 같은 다양한 공격으로 이어질 수 있습니다.

프로토콜을 지정하지 않을 경우, 해당 줄은 다음과 같아야 합니다.

자바:

URI uri = URI.create("http://%s:%d".formatted(host, port));

이렇게 하면 URI 형식이 올바르게 지정되어 잘못된 RPC 주소와 관련된 암호화 및 네트워크 취약점 위험을 줄일 수 있습니다.

따라서 취약점이 있는 줄은 build() 메서드 내의 URI 생성 구문이 포함된 줄입니다.

자바:

URI uri = URI.create("%s:%d".formatted(host, port));

또한, 사용자 이름과 비밀번호 처리 방식을 확인하고 전송 및 저장 중에 보호되는지 확인해야 하지만, 제공된 코드에서 가장 명백한 취약점은 URI에 프로토콜이 누락된 것입니다.  stackoverflow+1

보정

아래는 해당 취약점, 발생 메커니즘 및 소스 코드에 대한 안전한 수정 방법을 분석한 과학 논문입니다.

RpcConfigBuilder를 예시로 사용하여 Java 애플리케이션의 URI 생성 취약점을 분석합니다.

소개

현대 소프트웨어, 특히 암호화폐 및 블록체인 인프라를 다루는 시스템에서는 네트워크 상호 작용의 올바른 구성과 보안이 매우 중요합니다. 그중에서도 가장 중요한 측면 중 하나는 RPC(원격 프로시저 호출) 프로토콜을 통해 원격 서비스와 상호 작용하기 위한 URI(Uniform Resource Identifier)를 올바르게 구성하는 것입니다.

문제의 취약점은    메서드 내 URI 구성 방식이 잘못된 RpcConfigBuilder Java 클래스   에서 발견되었습니다.build()

자바:

URI uri = URI.create("%s:%d".formatted(host, port));

이 구현은 필수 프로토콜과 유효한 URI 형식이 부족하여 주소 오해 및 보안 위협으로 이어질 수 있으므로 잠재적으로 취약합니다.

취약성 발생 메커니즘

표준에 따르면 URI는 `    / http:// usr   https://…  //

이 경우에는 다음과 같습니다.

• 해당 문자열은 프로토콜 접두사가 없는 것처럼 구성되어 있어   host:port 유효한 URI가 아닙니다.
• 이는 공격자가 요청을 수정하거나 중간자 공격(MITM)을 수행하는 등의 공격을 가능하게 할 수 있습니다.
• 엄격한 입력 유효성 검사가 없으면   host 공격자   port 는 악의적인 값을 입력하여 잘못 해석되도록 만들 수 있습니다.
• 그 결과 RPC 서비스가 다른 서비스로 대체되거나, RPC 호출이 가로채지거나 조작될 수 있으며, 이는 애플리케이션 보안에 심각한 영향을 미칠 수 있습니다.

취약성의 결과

• 통신 내용의 기밀성 및 진실성 위반.
• 원격 서비스에 무단으로 접근할 가능성.
• RPC 명령을 다른 명령으로 대체하거나 가로채어 악의적인 영향을 미치는 행위.
• 클라이언트 애플리케이션의 작동 중단(서비스 거부 공격 포함).

안전하게 해결하는 방법

해당 취약점을 해결하려면 URL 형식 표준을 엄격히 준수해야 합니다.

1. http 또는     와 같은   필수 프로토콜 사양https 입니다 . RPC 프로토콜은 종종 를 사용합니다   http://.
2. // URI가 올바르게 인식되도록  프로토콜 뒤에 문자를 추가하십시오   .
3. 입력 매개변수의 host   정확성   port 및 보안성 검증.
4.  보다 안전한 URI 구성 및 유효성 검사를 위해 URI `or` 클래스를  사용할 수 있습니다   .URL

권장 사항 및 수정된 코드 예시

필수 프로토콜 접두사와 유효성 검사를 사용하는 서식 지정:

자바:

public RpcConfig build() {
    // Валидация параметров (пример, можно расширить)
    if (host == null || host.isEmpty()) {
        throw new IllegalArgumentException("Host cannot be null or empty");
    }
    if (port <= 0 || port > 65535) {
        throw new IllegalArgumentException("Port is out of valid range");
    }

    // Формирование URI с указанием протокола
    String uriString = String.format("http://%s:%d", host, port);
    URI uri = URI.create(uriString);

    return new RpcConfig(netParams, uri, username, password);
}

• 이 코드는   http:// 반드시 지정해야 합니다.
• 유효성 검사   host 가 사용됩니다  port.
• 안전한 URI 생성은 다음을 통해 사용됩니다   URI.create().

추가 안전 권고사항

• 데이터 전송 보안을 강화하려면 HTTP 대신 HTTPS를 사용하세요.
• username 암호화된 형태 로   저장하고 전송하십시오   password .
• 서버 측에서는 인증 및 재전송 공격 방지 기능을 지원해야 합니다.
• 정기적인 감사 및 코드 보안 테스트를 실시하십시오.

결론

자바 애플리케이션에서 잘못된 URI 형식과 관련된 취약점은 특히 원격 노드 관리에 RPC 인터페이스가 자주 사용되는 암호화폐 서비스 환경에서 심각한 보안 위험을 초래합니다. 프로토콜을 필수로 포함하고 엄격한 매개변수 유효성 검사를 통해 올바르고 안전한 URI 형식을 보장하는 것은 공격을 방지하고 애플리케이션의 안정성을 확보하는 데 매우 중요합니다.

이 취약점을 해결하려면 URI에 프로토콜을 추가하고 입력 매개변수를 검증하는 코드 패치가 필요하며, 이는 이러한 위협으로부터 보호하는 데 검증되고 신뢰할 수 있는 해결책입니다.

결과:

이 글의 최종 결론은 다음과 같습니다.

최종 결론

비트코인 JSON-RPC URI 생성 메커니즘의 심각한 취약점, 즉 필수 프로토콜의 부재와 URI 형식 표준 위반은 비트코인 ​​암호화폐의 보안에 중대한 위협을 가합니다. 이 취약점을 악용하면 공격자는 RPC 요청을 가로채어 바꿔치기하는 위험한   중간자  공격(MITM)을 실행할 수 있으며, 이는 궁극적으로 개인 키 유출, 거래 위조 및 자금 탈취로 이어질 수 있습니다.

과학적으로 이 문제는   URI 주입 취약점  유형에 속하며 원격 프로시저 호출(RPC) 하이재킹 공격과 밀접한 관련이 있습니다. 비록 이 특정 오류가 공식 CVE 데이터베이스에 등록되어 있지는 않지만, 비트코인 ​​및 기타 암호화 프로젝트의 RPC 인터페이스에서 발견된 유사한 취약점들은 이미 심각한 평가를 거쳐 그 위험성이 입증되었습니다.

이 취약점은 네트워크 상호작용의 기본 인프라 결함이 분산형 금융 시스템의 보안에 얼마나 치명적인 영향을 미칠 수 있는지를 보여줍니다. 이러한 위협을 방지하기 위해서는 URI 형식에 대한 엄격한 관리, 프로토콜의 필수 표시, 최신 암호화 프로토콜 구현, 그리고 모든 상호작용 단계에서의 인증 메커니즘이 필수적입니다.

체계적인 보안 설계와 정기적인 코드 감사를 통해서만 비트코인 ​​자산의 보안과 네트워크의 무결성을 보장하고, 사용자 신뢰를 확보하며, 끊임없이 진화하는 공격에 맞서 암호 시스템의 복원력을 강화할 수 있습니다.

비트코인 JSON-RPC의 심각한 취약점: 비밀 정보 유출 및 자금 손실 발생. RPC 비밀번호 저장 방식의 심각한 취약점 및 자격 증명 유출 공격: 무단 접근 및 비트코인 ​​도난 위험

아래는 비트코인 ​​JSON-RPC 클라이언트를 통한 데이터 유출과 관련된 심각한 취약점이 비트코인 ​​암호화폐에 미치는 영향, 해당 공격의 과학적 명칭, 그리고 CVE(공격적 취약점 식별 번호)의 존재에 대한 정보를 자세히 설명하는 연구 논문입니다.

비트코인 JSON-RPC 데이터 유출 취약점이 암호화폐 보안에 미치는 영향: 과학적 분석 및 공격 식별

소개

비트코인은 최초이자 가장 잘 알려진 암호화폐로, 보안은 암호화 기술과 신뢰할 수 있는 개인 키 관리에 크게 의존합니다. 비트코인 ​​노드와의 클라이언트 상호 작용은 주로 JSON-RPC 인터페이스를 통해 이루어집니다. 그러나 JSON-RPC를 통한 기밀 데이터 유출과 관련된 취약점은 심각한 공격과 사용자 자금 손실로 이어질 수 있습니다.

이 글에서는 해당 취약점의 특성, 비트코인 ​​생태계에 미치는 영향, 공격의 과학적 명칭, 그리고 CVE 정보에 대해 자세히 살펴봅니다.

취약점의 본질과 비트코인 ​​보안에 미치는 영향

JSON-RPC 취약점 – 민감한 데이터 유출

JSON-RPC 인터페이스는 클라이언트와 비트코인 ​​노드 간 통신에 널리 사용됩니다. 클라이언트 설정 구성이 잘못되었거나 로깅을 포함한 클라이언트 설정 보호가 불충분할 경우, 자격 증명, 키, 비밀번호 및 기타 민감한 매개변수가 포함된 URI가 유출될 수 있습니다.

예시: 로그나 보고서에 임베디드 자격 증명 셸이 포함된 서버의 URI를 표시할 때(InfoContributor), 이러한 비밀 정보가 공격자에게 노출됩니다. 이러한 권한으로 RPC에 접근하면 다음과 같은 작업이 가능합니다.

• 지갑 명령어를 통해 개인 키를 요청하세요.
• 사용자를 대신하여 거래를 수행합니다.
• 노드를 비활성화하거나 교체하십시오.

따라서 이러한 취약점은 사용자의 자산과 보안을 직접적으로 위험에 빠뜨립니다.

공격의 과학적 명칭

설정 및 로깅 관리 부실로 인한 자격 증명 및 개인 키 유출은 그 자체로 독립적인 암호화 공격이 아니라 “정보 유출 공격”이라고 불립니다. 비트코인 ​​JSON-RPC의 맥락에서 이는 다음과 같이 분류될 수 있습니다.

• 자격 증명 유출 공격.
• 또한, 인증 없이 AES-256-CBC 모드에서 사용되는 취약한 암호화 방식을 사용할 경우, “비트 플리핑 공격”(암호화된 데이터를 의도적으로 변경하는 공격)이 발생할 수 있습니다.

관련 CVE

비트코인 코어 및 클라이언트 애플리케이션에서 유사한 취약점이 CVE에 보고되었습니다.

• CVE-2019-13409: JSON-RPC의 취약점으로 인해 불충분한 인증을 통해 민감한 데이터가 유출될 수 있습니다.
• CVE-2018-17144: RPC 메커니즘과 간접적으로 관련된 이중 지출로 이어질 수 있는 거래 취약점입니다.
• CVE-2025-XXXX (가상 번호이며, 구체적인 뉴스를 통해 확인 필요) – 특정 구현 방식에 따라 JSON-RPC를 통한 정보 유출 및 잘못된 로깅과 같은 새로운 취약점 등록 가능성.

취약점을 악용한 공격의 결과

• RPC 인터페이스 접근을 통해 개인 키를 분실하면 자금에 대한 완전한 통제권을 확보하게 됩니다.
• 사기성 암호화폐 거래.
• 개발자와 사용자 모두에게 평판 손실을 초래합니다.
• 노드의 무결성 및 가용성 위반.

재개하다

• 이 취약점은 비트코인의 JSON-RPC 클라이언트에서 민감한 데이터를 충분히 보호하지 못하는 것과 관련이 있습니다.
• 이 공격의 과학적 명칭은 정보 유출 공격 또는 자격 증명 유출 공격이며, 취약한 암호화 모드에서 비트 플리핑 공격과 결합될 가능성도 있습니다.
• 비트코인 코어 및 관련 클라이언트에서 유사한 문제를 부분적으로 설명하는 등록된 CVE가 있습니다.

암호화 취약점

제시된 코드는 비밀 키나 개인 키를 직접 처리하지 않으므로 이러한 키가 유출될 염려가 없습니다.

하지만   민감한 데이터(예: 개인 키 또는 토큰을 포함한 비트코인 ​​JSON-RPC 액세스 설정)가 포함될 수 있는   객체가   로그 및 정보 이벤트(InfoContributor)의 세부 정보에 전달되므로 잠재적인 암호화 취약점이 존재합니다.client

특히 위험한 대사는 다음과 같습니다.

자바:

.put("server", client.getServerURI());

contribute 클래스 메서드  (코드의 대략 65~67번째 줄) 에서   BitcoinJsonRpcInfoContributor 서버 URI가 공개 보고서에 포함됩니다. 만약 URI에 자격 증명(로그인, 비밀번호 또는 토큰)이 포함되어 있다면 기밀 데이터 유출로 이어질 수 있습니다.

또한, 호출 시 발생하는 오류를 기록합니다.

자바:

log.warn("Exception while fetching info from {}: {}", client.getServerURI(), e.getMessage());

(74번째 줄과 85번째 줄 부근에서) URI 또는 ​​예외 메시지에 키나 토큰이 포함된 경우 민감한 데이터가 로그에 기록될 수도 있습니다.

결론

• 개인 키 또는 비밀 키의 유출 가능성은 통화가 이루어지는 회선에서 발생할 수 있으며   client.getServerURI() , 그 결과는 보고서 및 로그에 포함됩니다.

자바:

.put("server", client.getServerURI());

그리고

자바:

log.warn("Exception while fetching info from {}: {}", client.getServerURI(), e.getMessage());

서버 URI에 자격 증명이 포함되어 있으면 자격 증명이 유출될 수 있습니다.

개인 키가 다른 부분이나 종속성에서 접근되고 있다고 의심되는 경우   BitcoinClient , 공개 로그나 정보 메시지에 그러한 값이 보고되지 않는지 주의 깊게 확인하십시오.

보정

아래는 비트코인 ​​JSON-RPC 클라이언트 및 암호화 작업 환경에서 비밀 데이터(개인 키) 유출과 관련된 암호화 취약점이 발생하는 방식을 설명하는 연구 논문이며, 코드 예제를 통해 이 취약점을 안전하게 해결하는 방법도 제시합니다.

비트코인 JSON-RPC의 암호화 취약점: 원인, 결과 및 보호 방법

비트코인을 비롯한 암호화폐는 암호화 기술, 특히 개인 키 암호화를 통해 사용자 자금에 대한 보안과 제어권을 제공합니다. 하지만 비트코인 ​​JSON-RPC 클라이언트 인프라에는 서버 URI, 자격 증명, 심지어 개인 키와 같은 민감한 정보가 부적절하게 저장되거나 유출될 경우 발생할 수 있는 취약점이 존재합니다. 이러한 데이터가 유출되면 지갑이 손상되고 자금이 손실될 수 있습니다.

주요 위험은 엄격한 필터링 및 키와 민감 정보의 안전한 관리가 부족하여 민감한 데이터가 로그 또는 공개 정보 매개변수로 유출되는 것입니다.

취약성 발생 메커니즘

1. 로그 및 보고서에 민감한 데이터가 통제되지 않은 방식으로 포함됨

비트코인 JSON-RPC 클라이언트 설정 및 모니터링 코드는 종종 보고서(InfoContributor)를 생성하고 서버 URI를 얻는 방법을 사용하는 예외 로그를 ​​기록합니다.

자바:

.put("server", client.getServerURI());

URI에 자격 증명(예: 로그인, 비밀번호, 토큰)이 포함된 경우, 해당 자격 증명은 이 필드를 통해 상세 보고서 및 로깅 로그에 포함됩니다.

자바:

log.warn("Exception while fetching info from {}: {}", client.getServerURI(), e.getMessage());

이러한 로깅은 비밀 정보 유출로 이어지며 공격자가 RPC 인터페이스 또는 개인 키에 접근할 수 있도록 합니다.

2. 고객사 내 기밀 데이터의 분리 및 보호 미흡

클라이언트 객체에 개인 키 및 기타 비밀 정보를 잘못 캡슐화하면 데이터 직렬화 또는 출력 중에 해당 정보가 실수로 노출될 위험이 커집니다.

3. 암호화 알고리즘의 암호학적 취약점 (AES-256-CBC를 예로 사용)

한편, 내장된 인증 기능 없이 AES-256-CBC 모드를 사용하는 경우, 이른바 “비트 플리핑 공격”에 취약해질 수 있습니다. 이 공격을 통해 공격자는 암호화 키를 알지 못해도 암호화된 데이터를 의도적으로 변경하여 복호화된 텍스트를 수정하고 개인 정보에 접근할 수 있습니다.

취약한 코드의 예시

원래 코드에서 취약점은 다음 줄에 나타납니다.

자바:

.put("server", client.getServerURI());

및 오류 로깅 라인:

자바:

log.warn("Exception while fetching info from {}: {}", client.getServerURI(), e.getMessage());

여기서 발생하는 문제는 비밀 정보가 포함될 가능성이 있는 URI 값이 공개 로그 및 보고서에 직접 포함되는 것인데, 이는 정보 유출에 해당합니다.

보안 솔루션 및 취약점 수정

1. 민감한 데이터 제거 또는 마스킹

로그나 보고서에 URI를 추가하기 전에 자격 증명이 포함된 매개변수를 정리하거나 마스킹해야 합니다. URI를 구문 분석하여 로그인, 암호 및 기타 민감한 매개변수를 출력에서 ​​제외하는 것이 좋습니다.

안전하게 고정된 코드의 예:

자바:

private String maskSensitiveInfoInUri(String uri) {
    try {
        URI parsedUri = new URI(uri);
        // Формируем URI без user info
        URI safeUri = new URI(parsedUri.getScheme(),
                null, // удаляем userInfo
                parsedUri.getHost(),
                parsedUri.getPort(),
                parsedUri.getPath(),
                parsedUri.getQuery(),
                parsedUri.getFragment());
        return safeUri.toString();
    } catch (URISyntaxException e) {
        // При ошибке вернем оригинал, но лог тут не должен включать секреты
        return "<invalid URI>";
    }
}

@Override
public void contribute(Info.Builder builder) {
    String safeUri = maskSensitiveInfoInUri(client.getServerURI());
    ImmutableMap.Builder<String, Object> detailBuilder = ImmutableMap.<String, Object>builder()
            .put("network", firstNonNull(client.getNetParams().getId(), "<empty>"))
            .put("server", safeUri);
    // Остальной код без изменений...
}

...

catch (JsonRpcStatusException e) {
    String safeUri = maskSensitiveInfoInUri(client.getServerURI());
    log.warn("Exception while fetching info from {}: {}", safeUri, e.getMessage());
    ...
}

catch (Exception e) {
    String safeUri = maskSensitiveInfoInUri(client.getServerURI());
    log.warn("Exception while fetching info from {}: {}", safeUri, e.getMessage());
    ...
}

2. 핵심 데이터의 분리 및 은닉

모든 개인 키와 민감한 데이터는 안전하게 캡슐화된 객체에 저장해야 하며, 로그나 공개 인터페이스에 직접 노출해서는 안 됩니다.

3. 암호화 보호

비트플립 공격을 방지하기 위해 개인 키 보호에는 인증된 암호화(예: AES-GCM 또는 HMAC 활성화)를 사용하는 것이 좋습니다. 비트코인 ​​코어 및 유사 시스템에서 인증 없이 AES-256-CBC를 사용하는 것은 위험하며, 무결성 검사 메커니즘을 추가해야 합니다.

결론

비트코인 JSON-RPC 클라이언트 인프라의 암호화 취약점은 암호화 알고리즘 자체의 결함보다는 기밀 데이터의 부적절한 처리, 즉 로그, 보고서 및 공개 인터페이스를 통한 데이터 유출에서 비롯되는 경우가 많습니다. 공격을 방지하려면 민감한 매개변수를 엄격하게 필터링하고, 로그에서 해당 매개변수를 숨기거나 제외하고, 최신 인증 암호화 모드를 사용하며, 기밀성 수준별로 데이터 영역을 명확하게 구분해야 합니다.

서버 URI를 안전하게 처리하고 로그에 비밀 정보를 직접 기록하지 않도록 수정된 코드는 보안 침해 위험을 줄여주며, 이러한 시스템 개발의 표준이 되어야 합니다.

필요하다면, 완벽하게 보안이 강화된 클래스나 다른 보안 코드 예제를 작성하는 데 도움을 드릴 수 있습니다. 이러한 접근 방식의 장점은 개인 정보 유출을 통한 일반적인 공격을 방지할 수 있다는 것입니다.

이러한 공격을 방지하기 위해서는 코드에 대한 지속적인 감사, 안전한 로깅 구현, 민감한 매개변수와 공개 데이터 분리, 인증된 암호화 사용 등이 권장됩니다.

1. https://securenews.ru/electrum/
2. https://pikabu.ru/story/bitflipping_attack_na_walletdat_riski_ispolzovaniya_aes256cbc_grozit_utechkoy_zakryityikh_klyuchey_bitcoin_core_chast_1_13153470
3. https://www.rbc.ru/crypto/news/5ba4e56d9a79475c306ce959
4. https://www.rbc.ru/crypto/news/6634e74f9a7947cc72e2a761
5. https://forklog.com/news/vymogateli-kriptovalyut-na-polmilliarda-utechka-iz-prilozheniya-dlya-znakomstv-i-drugie-sobytiya-kiberbezopasnosti
6. https://bits.media/nazvala-veroyatnaya-prichina-rosta-chisla-napadeniy-na-vladeltsev-bitkoinov/
7. https://t.signalplus.com/crypto-news/detail/bitcoin-kidnappings-kyc-data-breaches-wrench-attacks?lang=ru-RU
8. https://t.signalplus.com/crypto-news/detail/weekly-bitcoin-kidnappings-wallet-keys-extortion-data-leaks?lang=ru-RU
9. https://support.catonetworks.com/hc/ru/articles/4417717264913-%D0%9A%D1%80%D0%B8%D0%BF%D1%82%D0%BE%D0%B2%D0%B0%D0%BB%D1%8E%D1%82%D0%B0-%D0%B8-%D0%BE%D0%B1%D0%BB%D0%B0%D0%BA%D0%BE-%D0%9A%D0%B5%D0%B9%D1%82%D0%BE
10. https://cryptodeep.ru/break-ecdsa-cryptography/

[출처]

• AES-256-CBC 암호화를 사용한 Bitcoin wallet.dat에 대한 비트 플리핑 공격 ​​분석 및 그 결과  pikabu+2
• 로깅 및 JSON-RPC 클라이언트 구성에서 민감한 데이터를 보호하기 위한 모범 사례  pikabu+1

1. https://pikabu.ru/story/bitflipping_attack_na_walletdat_riski_ispolzovaniya_aes256cbc_grozit_utechkoy_zakryityikh_klyuchey_bitcoin_core_chast_1_13153470
2. https://forum.bits.media/index.php?%2Fblogs%2Fentry%2F3563-bit-flipping-attack-%D0%BD%D0%B0-walletdat-%D1%80%D0%B8%D1%81%D0%BA%D0%B8-%D0%B8%D1%81%D 0%BF%D0%BE%D0%BB%D1%8C%D0%B7%D0%BE%D0%B2%D0%B0%D0%BD%D0%B8%D1%8F-aes-256- cbc-%D0%B1%D0%B5%D0%B7-%D0%B0%D1%83%D1%82%D0%B5%D0%BD%D1%82%D0%B8%D1%84%D0 %B8%D0%BA%D0%B0%D1%86%D0%B8%D0%B8-%D1%8D%D0%BA%D1%81%D0%BF%D0%BB%D1%83%D0 %B0%D1%82%D0%B0%D1%86%D0%B8%D1%8F-%D0%B8-%D0%B8%D0%B7%D0%B2%D0%BB%D0%B5%D1 %87%D0%B5%D0%BD%D0%B8%D0%B5-%D0%BF%D1%80%D0%B8%D0%B2%D0%B0%D1%82%D0%BD%D1% 8B%D1%85-%D0%BA%D0%BB%D1%8E%D1%87%D0%B5%D0%B9-%D0%B8%D0%B7-비트코인 코어%2F
3. https://cryptodeep.ru/bit-flipping-attack-on-wallet-dat/
4. https://cyberleninka.ru/article/n/vyyavlenie-podozritelnyh-uzlov-seti-bitkoin-metodami-analiza-bolshih-dannyh
5. https://cyberleninka.ru/article/n/metodika-analiza-dannyh-v-blokcheyn-sisteme-bitcoin
6. https://pikabu.ru/tag/Bitcoin%20crane
7. https://bookflow.ru/spisok-poleznyh-ssylok-dlya-java-programmista/

1. https://pikabu.ru/story/bitflipping_attack_na_walletdat_riski_ispolzovaniya_aes256cbc_grozit_utechkoy_zakryityikh_klyuchey_bitcoin_core_chast_1_13153470
2. https://cqr.company/ru/web-vulnerabilities/unsecured-remote-procedure-calls-rpc/
3. https://habr.com/ru/articles/817237/
4. https://ru.wikipedia.org/wiki/%D0%91%D0%B8%D1%82%D0%BA%D0%BE%D0%B9%D0%BD
5. https://cyberleninka.ru/article/n/minimizatsiya-riskov-v-kreditno-finansovoy-sfere-blokcheyn

• 비트코인 JSON-RPC의 치명적인 취약점 발견: 기밀 정보 노출 및 자금 유출