["비트코인JS 취약점 2건 발견… 채굴 수수료 과소 계산 위험"]
비트코인 애플리케이션 개발 라이브러리 비트코인JS(Bitcoinjs-lib)에서 실제 채굴 수수료를 과소 계산하고 안전장치를 우회할 수 있는 취약점 2건이 발견됐다고 크립토슬레이트가 전했다. 취약점은 부분 서명 비트코인 트랜잭션(PSBT) 처리 과정에서 발생한다. PSBT는 클라이언트 간 트랜잭션 정보와 서명을 전달하는 방식으로, BIP-174에 정의돼 있다. 시연 사례에서 실제 수수료는 9억 사토시였지만 라이브러리는 이를 200 사토시로 계산했으며, 서명 검증과 트랜잭션 추출 과정에서도 기본 수수료율 경고가 발생하지 않았다. 확정된 입력값의 금액 기록이 모두 누락되면 수수료 계산기가 해당 입력값을 0으로 처리하는 문제도 확인됐다. 비트코인JS는 취약점을 수정한 5.2.2, 6.1.9, 7.0.4 버전을 배포했으며, 개발자들에게 라이브러리 업데이트와 PSBT 입력값 검증을 권고했다.
https://coinness.com/news/1173247