Alby Hub 치명적 결함, 인터넷에 노출된 비트코인 지갑 탈취 가능

비트코인 지갑 서비스 기업 Alby는 Alby Hub에서 공격자가 지갑을 탈취하고 자금을 송금할 수 있는 치명적 결함이 존재했다고 경고했다. 다만 이 취약점은 허브 소유자가 Hub를 인터넷에서 접근 가능하도록 설정한 경우에만 악용될 수 있다.

Alby Hub는 자체 호스팅 방식의 라이트닝 지갑으로, 소유자가 직접 자신의 컴퓨터나 서버에서 운영하며 비트코인을 보관한다. 이 결함은 2025년 8월 이전에 배포된 v1.7.0~v1.18.5 버전에 영향을 미치며, Alby에 따르면 현재까지 1명의 사용자가 피해를 입은 것으로 확인되었다.

v1.19.0 이후 버전에는 해당 결함이 없다. 수정 버전은 2025년 8월 29일 처음 배포되었으므로, 그 이후 출시된 버전으로 업데이트된 허브는 영향을 받지 않는다.

Alby는 구버전을 사용 중인 사용자에게 허브의 관리 인터페이스(지갑 제어에 사용되는 웹 페이지)에 대한 외부 접근을 먼저 차단한 뒤, v1.24.0(현재 최신 버전)으로 업데이트할 것을 권고하고 있다.

Alby는 취약점의 구체적인 내용을 공개하지 않았다. 책임 있는 공개(responsible disclosure) 관행에 따라 세부 사항은 추후 발표할 예정이라고 밝혔으며, 최신 버전에서 수정된 다른 문제들을 제보한 연구자들에게 감사를 전했다.

Alby는 자신들이 파악하기로는 1명의 사용자가 피해를 입었다고 밝혔으나, 해당 사용자의 자산 손실 여부는 언급하지 않았다. 해당 사용자가 회사에 직접 피해 내용을 신고한 것으로 알려졌다.

버전	상태
v1.7.0 ~ v1.18.5	허브가 인터넷에서 접근 가능했던 경우 영향 받음
v1.19.0 이후	영향 없음
v1.24.0	현재 최신 릴리스. 영향을 받지 않는 사용자에게도 Alby가 권장

지금 당장 해야 할 일

1. 현재 실행 중인 허브의 버전을 확인한다.
2. v1.18.5 이하인 경우, 먼저 자신의 네트워크 외부에서 허브에 접근할 수 없도록 차단한다. Docker 환경에서는 포트를 8080:8080이 아닌 127.0.0.1:8080:8080으로 설정해야 한다. 클라우드 서버의 경우, 포트 8080에 대한 방화벽 규칙이 임의의 주소가 아닌 자신의 주소만 허용하도록 설정해야 한다.
3. v1.24.0으로 업데이트한다.
4. 취약한 버전을 사용하면서 동시에 허브가 인터넷에 노출되어 있었다면, 업데이트 후 잠금 비밀번호를 변경하고 security@getalby.com으로 연락한다.

Alby는 업데이트만으로 이미 노출된 허브에 공격자가 확보한 접근 권한을 완전히 제거할 수 있는지에 대해서는 언급하지 않았다. 잠금 비밀번호 변경 권고는 바로 이 그룹을 대상으로 하며, 해당 변경이 구체적으로 무엇을 되돌리기 위한 것인지는 어떤 공개 자료에도 설명되어 있지 않다.

허브가 인터넷에 노출되는 경위

Alby Hub는 사설 네트워크 환경에서 사용하도록 설계되었다. 웹 인터페이스는 로그인을 요구하며, 프로젝트 공식 문서에는 현재 서버가 자기 자신만이 아닌 모든 네트워크 연결에서 수신 대기하기 때문에 공개 인터넷에 노출하지 말 것을 경고하고 있다.

이 경고는 새로 추가된 것이다. 9월 7일에 병합된 문서 변경을 통해 추가되었으며, 해당 변경의 설명에는 여러 설치 가이드가 "실제로는 모든 네트워크 인터페이스에서 수신 대기하는 서버를 localhost에서 실행되는 것으로 잘못 설명"했다고 명시되어 있다.

같은 변경에서 프로젝트의 Docker 파일도 포트 8080을 모든 주소에 게시하던 방식에서 기기 자체로만 게시하는 방식으로 수정되었다.

이전까지 Linux 서버에서 Alby Hub를 실행하는 가이드는 허브가 localhost에서 실행된다고 설명하며, 공개 접근을 원하는 경우에만 리버스 프록시를 사용하도록 권장했다. 영향을 받는 가장 오래된 버전과 가장 최신 버전에 포함된 README에는 해당 경고가 없었으며, 현재 최신 릴리스의 README에도 마찬가지다.

9월 9일 경고 발표 시점 기준으로, Alby의 클라우드 서버 허브 설치 가이드는 여전히 인터넷에 개방된 설정을 안내하고 있었다.

DigitalOcean 가이드는 독자에게 서버의 공인 IP를 유지하도록 안내하면서 "브라우저에서 Alby Hub를 열기 위해 필요하다"는 이유를 들고 있으며, 해당 주소로 허브에 접속하도록 안내한다.

Hetzner 가이드는 포트 8080에 대한 방화벽 규칙을 생성할 때 소스를 "Any IPv4 and Any IPv6, or your own IP address for better security"로 설정하도록 안내하며, 예시 Docker 파일은 포트를 모든 주소에 게시하도록 되어 있다.

이전에 발생한 노출된 허브 탈취 사례

인터넷에 공개된 Alby Hub가 탈취된 것은 이번이 처음이 아니다. 2025년 11월, 허브가 비워진 사용자의 문의에 답하면서 Alby는 해당 기기가 "클리어넷에 공개적으로 접근 가능하여 외부에서 접근할 수 있었다"고 밝혔다.

Alby의 설명에 따르면 당시 사례는 이번 취약점과는 다른 문제였다. 허브 초기 설정이 완료되지 않아 잠금 비밀번호가 존재하지 않았고, 공격자가 직접 설정을 완료한 것이었다.

그 사례 이후 Umbrel의 앱 변경을 통해 Alby Hub가 Umbrel 자체 로그인 뒤에 위치하게 되었는데, 그전까지는 해당 기능이 비활성화되어 있었다. 현재 Umbrel 앱스토어는 v1.24.0을, Alby의 Umbrel 공식 리스팅은 v1.21.4를 설치하며, 둘 다 수정 버전보다 최신이다. 다만 이는 현재 해당 스토어에서 설치되는 버전을 나타낼 뿐, 각 허브에 실제로 실행 중인 버전과는 다를 수 있다.

이번 경고에서 해소되지 않은 두 가지 의문점이 관련 사용자 집단 전체에 영향을 미친다. 경고문은 설치된 버전을 확인하라고 안내하지만, Alby Cloud 사용자의 경우 이미 처리가 완료되었는지 여부를 알 수 없다. 또한 영향을 받는 범위의 시작으로 v1.7.0을 명시했지만, v1.0.2까지 거슬러 올라가는 그 이전 버전들에 대해서는 언급이 없다.

The Hacker News는 두 가지 의문점과 함께 비밀번호 변경이 구체적으로 무엇을 되돌리기 위한 것인지에 대해 Alby 측에 문의한 상태다.