끝 네 글자가 같아 감춰진 Electrum 송금 주소 바꿔치기

익숙한 주소 끝자리만 보고는 수신자가 바뀐 사실을 놓칠 수 있습니다. 일렉트럼(Electrum) 유지보수 담당자들이 설명한 두 건의 신고에서는 모두 공격자의 수신 주소 마지막 네 글자가 원래 수신자의 주소와 일치했습니다 .

일렉트럼의 거래 수신 주소 변경 취약점, 어떻게 해결하나요?

취약한 일렉트럼을 4.8.3 버전으로 업데이트하고 설치 파일을 검증하세요. 송금이나 수수료 인상에 서명하기 전에는 수신 주소 전체와 금액을 확인하세요 . 유지보수 담당자들의 권고문에는 공격자의 주소 마지막 네 글자가 원래 수신자의 주소와 일치했던 두 건의 신고가 설명되어 있습니다 .

핵심 답변: 일렉트럼의 거래 수신 주소 변경 취약점은 4.8.3 버전에서 수정되었으며, 이전 버전은 영향을 받습니다 . 공식 웹사이트에서 수정된 버전을 받아 검증한 뒤 설치하세요. 의심스러운 송금의 수수료 인상은 보류하고, 서명 전에 수신 주소 전체와 금액을 확인하세요. 주소 끝자리가 일치한다고 해서 올바른 수신자라는 뜻은 아닙니다.

취약점이 수정된 버전을 정확히 확인해야 합니다. 권고문은 4.8.3 미만 버전이 영향을 받는다고 명시하며, 2026년 10월 29일 확인 당시 공식 다운로드 사이트에는 4.8.3이 최신 버전으로 안내되어 있었습니다 . 이는 해당 날짜에 확인한 결과이며, 앞으로도 계속 최신 버전이라는 의미는 아닙니다.

이 공격은 일상적인 수수료 조정을 송금 대상이 바뀌는 계기로 만듭니다. 수수료 인상 대체 기능은 처리 대기 중인 비트코인(Bitcoin) 거래를 더 높은 수수료를 제시하는 거래로 교체하는 방식입니다. 보안 권고문에 따르면, 악성 서버는 원래 송금을 차단하고 공격자에게 송금하는 유효하지 않은 거래를 제공합니다. 사용자가 그 거래의 수수료를 수동으로 올리면, 취약한 지갑이 공격자에게 송금하는 유효한 거래에 서명할 수 있습니다. 따라서 처리 대기 중인 거래의 속도를 높이려면 먼저 거래 내역을 살펴봐야 합니다.

• 설치된 버전을 확인하세요. 새로 송금하거나 처리 대기 중인 거래를 조정하기 전에, 취약점의 영향을 받는 버전인지 확인하세요.
• 의심스러운 거래의 수수료 인상을 보류하세요. 수신 주소나 금액, 처리 대기 중인 거래가 낯설다면 대체 거래를 승인하기 전에 멈추세요.
• 수정된 버전을 검증한 뒤 설치하세요. 공식 웹사이트에 직접 접속해 지피지(GPG) 서명 검증 안내를 따르세요. 서명 키의 지문도 별도로 확인하세요. 서명 파일을 다운로드하는 것만으로는 설치 파일이 검증되지 않습니다.
• 서명 전에 세부 정보를 대조하세요. 수신 주소 전체를 원래 수신자의 주소와 비교한 다음 금액을 확인하세요. 수수료 인상도 검토가 필요한 별도의 승인으로 다루세요.

패치를 설치하면 지갑의 취약한 동작은 수정되지만, 이미 공격자에게 보낸 송금이 되돌아오지는 않습니다. 우선 추가로 서명하기 전에 업데이트하고, 다음 송금을 승인하기 전에 의심스러운 거래 내역을 조사해야 합니다. 소프트웨어 검증과 수신자 확인은 목적이 서로 다르며, 송금 과정에는 둘 다 필요합니다.

주소 끝 네 글자가 같다는 점을 이용해 수신자 바꿔치기를 어떻게 숨겼을까?

일렉트럼(Electrum)의 송금 바꿔치기 공격은 위조된 미확인 거래를 이용해 사용자의 수동 수수료 인상이 다른 수신자에게 보내는 송금 승인으로 이어지게 했다. 두 보고 모두 공격자 주소의 마지막 네 글자가 원래 수신자 주소와 같았다고 설명했다. 따라서 주소 끝부분만 비교해서는 두 수신 주소를 구별할 수 없었다 . 끝 네 글자가 같았다는 사실은 두 주소가 눈으로 보기에 비슷했던 이유를 설명할 뿐, 피해 사용자 각자가 실제로 주소를 어떻게 확인했는지는 보여주지 않는다. 결정적인 행위는 지갑 내역에서 오해를 유발하는 항목을 본 것 자체가 아니라, 대체 송금에 서명한 것이었다. 유지관리자의 보안 권고문은 공격 과정을 다음과 같이 설명한다.

1. 악성 서버가 원래 송금의 진행을 막는다. 서버는 정상적인 송금을 방해하고 지갑에 잘못된 거래 정보를 제공한다. 이로써 공격자는 사용자의 개인 키를 얻지 않고도 사용자가 미확인 송금으로 보게 되는 내용에 영향을 줄 수 있게 된다.
2. 서버가 공격자에게 송금하는 유효하지 않은 대체 거래를 제공한다. 바꿔치기된 거래는 수신 주소를 변경하지만, 아직 지갑의 자금을 사용하도록 승인된 유효한 송금은 아니다. 따라서 이 거래가 로컬 내역에 나타나는 것은 비트코인(Bitcoin) 네트워크가 유효한 거래를 받아들이는 것과 본질적으로 다르다. 취약점 때문에 이 위조된 미확인 거래 항목이 지갑의 다른 작업을 위한 출발점으로 사용될 수 있다.
3. 사용자가 수수료 대체 기능으로 수수료를 직접 올린다. 수수료 대체(Replace-by-Fee)는 미확인 거래를 더 높은 수수료를 제시하는 다른 거래로 바꾸는 방식이다. 이 공격에서는 지갑이 악성 거래 항목을 바탕으로 유효한 대체 거래를 만들고 서명하면서, 공격자를 수신자로 지정한 송금 내용을 그대로 유지한다. 수수료 인상을 승인하는 과정에서 유효하지 않았던 대체 거래에 빠져 있던 서명이 이루어진다.

이 사건을 이해할 때는 두 거래를 구분해야 한다. 공격자가 처음 제시한 대체 거래와 이후 서명된 대체 거래는 서로 다른 거래이며, 유효성도 다르다. 처음 거래는 지갑을 속이고, 이후 거래는 공격자에게 자금을 보내도록 승인한다. 문서에 설명된 공격 방식은 사용자가 나중에 수수료를 직접 올리는 단계에 의존한다. 악성 서버에 연결하기만 하면 자동으로 탈취가 완료된다는 뜻은 아니다.

한 보고에서는 또 다른 경고 신호도 나타났다. 바꿔치기된 거래의 수수료가 0이었다 . 예상치 못한 수수료 없는 거래 항목이 나타나면 원인을 확인해야 한다. 특히 사용자가 보내려던 송금 내용과 다르다면 더욱 그렇다. 다만 이 특징만으로 모든 공격을 탐지할 수 있는 것은 아니며, 이 취약점이 악용됐다고 단정할 수도 없다. 수수료를 올려 해당 항목을 고치려 하기보다는, 수신 주소와 거래 세부 정보를 점검해야 할 신호로 받아들여야 한다.

이 공격에서 문제가 되는 신뢰 경계는 개인 키의 보관이 아니라 거래 정보에 있다. 일렉트럼 문서에 따르면 개인 키는 서버로 전송되지 않는다. 따라서 지갑이 키를 로컬에 보관하더라도 속아서 원치 않는 송금에 서명할 수 있다. 실제로 유의할 점은 대체 거래에 서명할 때마다 수신 주소 전체를 원래 보내려던 수신자의 주소와 대조해야 한다는 것이다. 주소 끝부분이 익숙해 보인다는 이유만으로 송금 대상이 여전히 올바른 주소라고 판단할 수는 없다.

일렉트럼(Electrum) 사용자 중 누가 먼저 조치해야 할까요?

신뢰할 수 없는 서버에 연결해 4.8.3 미만 버전을 사용하는 일렉트럼 사용자라면 우선 조치해야 합니다. 특히 대기 중인 송금이 있어 수수료를 수동으로 올리려는 경우에는 더욱 그렇습니다 . 서명을 잠시 멈추고 먼저 업데이트하세요. 일렉트럼 보안 권고문은 수수료를 수동으로 올리는 행위가 바꿔치기된 거래를 공격자에게 보내는 유효한 송금으로 만들 수 있다고 설명합니다. 사용 중인 버전이나 서버 설정을 모른다면 다시 서명하기 전에 둘 다 확인하세요. 정보가 불확실하다는 사실만으로 침해가 발생했다고 볼 수는 없습니다.

신뢰할 수 있는 서버와 단지 익숙한 서버는 구분해야 합니다. 일렉트럼 유지관리자는 보안 권고문에서 다음과 같이 밝혔습니다.

“신뢰하는 서버에 연결하는 클라이언트(예: 직접 운영하는 서버에 연결하는 경우)는 영향을 받지 않습니다.” — 일렉트럼 유지관리자, 일렉트럼

이번 조치 여부를 판단할 때는 운영자와 연결을 신뢰할 별도의 근거가 있어야 ‘신뢰할 수 있는 서버’로 보세요. 직접 관리하며 신뢰하는 서버는 유지관리자가 든 예시에 해당합니다. 그런 근거 없이 선택한 공개 서버는 지갑이 정상적으로 연결되거나 과거에 그럴듯한 정보를 표시했다는 이유만으로 신뢰할 수 있는 서버가 되지 않습니다. 연결된 서버를 왜 신뢰하는지 설명할 수 없다면, 세부 정보를 확인할 때까지 ‘알 수 없음’으로 분류하세요.

거래가 잦고 송금을 제때 완료해야 하는 사용자라면, 수수료를 올려 처리를 앞당기기 전에 소프트웨어와 서버에 관한 불확실성부터 해소하는 것이 실질적인 권고 사항입니다. 이미 실제로 신뢰할 수 있는 서버를 사용하고 있다면, 권고문에 비추어 이번 공격에 대한 조치의 시급성은 상대적으로 낮지만 업데이트는 여전히 권장됩니다. 취약점이 수정된 버전을 사용하더라도 예상하지 못한 수취인이 표시되면 멈추고 조사해야 합니다. 이 분류는 다음 조치의 우선순위를 정하기 위한 것이며, 자금이 이미 다른 곳으로 보내졌는지를 판정하는 기준은 아닙니다.

일렉트럼(Electrum) 보안 패치는 어떻게 설치하고 검증하나요?

일렉트럼 공식 웹사이트에서 직접 설치 파일을 내려받고, 사이트의 지피지(GPG) 안내에 따라 파일의 서명을 검증한 뒤 기기에 맞는 버전을 설치하세요. 이번 보안 권고에서 취약점이 수정된 최소 버전은 4.8.3이며, 2026년 10월 29일 기준 공식 다운로드 페이지에도 이 버전이 안내되어 있습니다 . 보안 권고문에서는 4.8.3 미만 버전이 영향을 받는다고 명시합니다 . 내려받는 시점에 더 새로운 공식 버전이 있다면, 이전 설치 파일을 굳이 찾기보다는 보안상 필요한 최소 버전과 현재 배포 중인 버전을 구분하세요.

1. 공식 웹사이트에 직접 접속하세요. 브라우저 주소창에 electrum.org를 입력하고 사이트의 다운로드 링크를 이용하세요. 설치 파일과 해당 서명, 검증 안내를 모두 공식 사이트에서 확인할 수 있습니다.
2. 사용 환경에 맞는 설치 파일을 선택하세요. 공식 다운로드 페이지에는 데스크톱과 안드로이드(Android)용 파일이 있습니다. 업데이트할 기기에 맞는 파일을 선택하세요. 운영체제가 달라도 같은 안내나 설치 파일을 사용할 수 있다고 생각해서는 안 됩니다.
3. 선택한 파일에 해당하는 서명을 받으세요. 선택한 설치 파일에 연결된 서명 파일을 내려받으세요. 실제로 사용할 설치 파일을 검증할 수 있도록 서명이 어느 파일에 해당하는지 확인해 두세요.
4. 설치 전에 공식 지피지 검증 안내를 따르세요. 지피지 서명 검증은 내려받은 파일이 확인하려는 서명 키로 서명되었는지 검사합니다. 해당 키를 식별하고 설치 파일을 검증하는 방법은 웹사이트의 안내를 따르세요. 키의 지문을 별도의 경로로 확인하라는 권장 사항도 따라야 합니다.
5. 검증을 마친 뒤 설치하세요. 검증에 실패하거나 서명 키가 확인하려던 키인지 확신할 수 없다면 설치를 멈추고 원인을 해결하세요. 검증 결과가 무엇을 의미하는지 확인하지 못했다면 검증이 끝난 것이 아닙니다.

서명이 유효하다는 것과 서명자를 신뢰할 수 있다는 것은 서로 다릅니다. 지문은 서명 키의 식별자입니다. 이를 별도의 경로로 확인하면 검증에 사용한 키가 확인하려던 서명자의 키인지 판단하는 데 도움이 됩니다. 일렉트럼의 검증 안내에 따르면 검증 절차는 파일이 해당 키로 서명되었는지 확인합니다. 설치 파일과 함께 키를 받았다는 사실만으로는 지문을 별도로 확인하는 절차를 대신할 수 없습니다.

서명 검증이 소프트웨어에 결함이 없음을 보장하는 것도 아닙니다. 서명 검증으로 확인할 수 있는 범위는 내려받은 파일의 서명자에 관한 사항입니다. 해당 버전에서 이번 취약점이 해결되었는지는 유지관리자의 권고문을 통해 확인할 수 있습니다. 설치 파일 검증과 취약점이 수정된 버전 선택은 서로 보완하는 점검 절차입니다.

거래나 출금을 재개하기 전에 다음 설치 점검 항목을 완료하세요.

• 검증 완료: 설치 파일의 서명을 검사하고, 확인하려는 서명 키의 지문을 별도의 경로로 확인하세요.
• 기기에 맞는 공식 버전 설치: 검증한 파일과 실제로 설치하는 파일이 같은지 확인하세요.
• 일렉트럼을 다시 열고 설치된 버전 확인: 업데이트 파일을 내려받았다는 사실만으로 실행 중인 애플리케이션이 업데이트되었다고 볼 수는 없습니다.
• 서명 전에 대기 중인 송금 검토: 권고문의 안내에 따라 수취 주소와 금액이 의도한 송금 내용과 일치하는지 비교하세요. 수수료를 올리기 전에도 반드시 확인하세요.

비트코인 거래 수수료를 올리기 전에 무엇을 확인해야 할까요?

비트코인(Bitcoin) 거래 수수료를 올리기 전에는 서명할 거래에 표시된 수신 주소 전체, 수신 금액, 제안된 수수료, 수신처 변경 여부를 확인하세요. 수수료 인상을 통한 거래 대체(RBF)는 새로운 송금을 승인하는 절차로 생각해야 합니다. 일렉트럼(Electrum) 보안 권고문에 따르면, 이 취약점을 악용하는 공격은 사용자가 나중에 수행하는 서명을 통해 위조된 대기 중 거래 항목을 공격자에게 자금을 보내는 유효한 거래로 바꿉니다. 대기 중인 송금이 익숙해 보인다는 이유만으로 대체 거래도 의도한 곳으로 자금을 보낸다고 판단해서는 안 됩니다.

서명 단계에서는 원래 의도한 송금 내역을 별도로 준비해 두고 다음 항목을 확인하세요.

• 수신 주소 전체: 신뢰할 수 있는 수신자 연락 경로로 확보한 주소와 수신 주소 전체를 대조하세요. 대기 중인 거래 자체를 비교 기준으로 삼지 마세요. 권고문에 나온 두 신고 사례에서는 모두 공격자 주소의 마지막 네 글자가 원래 수신 주소와 일치했습니다 . 따라서 주소 끝부분만 확인했다면 해당 사례의 주소 바꿔치기를 알아채지 못했을 것입니다.
• 수신 금액: 의도한 수신자에게 전달되는 금액이 원래 송금하려던 금액과 일치하는지 확인하세요. 다르다면 대체 거래를 승인하기 전에 이유를 파악하세요. 수수료 인상을 선택했다는 이유로 모든 변경 사항이 당연하다고 생각하지 마세요.
• 제안된 수수료: 승인할 수수료를 읽고 수신자에게 전달되는 금액과 구분하세요. 화면에 일상적인 거래 관리 절차처럼 표시되더라도 수수료 조정은 신중하게 검토해야 합니다.
• 예상하지 못한 수신처: 낯선 수신처나 이유를 알 수 없는 거래 출력 변경이 있다면 확인하세요. 표시된 출력이 무엇을 의미하는지 알 수 없다면 자신의 주소라고 추측하지 말고 진행을 멈추세요.

확인 항목 중 하나라도 문제가 있다면 수수료 인상에 서명하지 마세요. 주소가 일치하지 않거나, 금액이 예상과 다르거나, 대기 중인 거래 항목이 의심스럽다면 원인을 조사해야 합니다. 실제로 설치된 애플리케이션 버전을 확인한 다음, 검증된 수정 사항을 적용하고 거래를 다시 검토하세요. 권고문에서는 4.8.3 미만 버전이 영향을 받는다고 명시합니다 . 배포 버전은 일렉트럼 공식 다운로드 사이트에서 받으세요. 업데이트는 거래를 다시 검토하기 위한 선행 조건일 뿐, 낯선 수신자가 정당하다는 근거는 아닙니다.

거래 상태를 조사하는 일과 서명을 승인하는 일은 별개로 다루세요. 외부에서 상태를 조회하면 원래 송금이 네트워크에 전파되었거나 확정되었는지 파악하는 데 도움이 될 수 있지만, 실제 대체 거래 검토를 대신할 수는 없습니다. 일렉트럼의 문서에 설명된 신뢰 모델은 확정된 거래의 검증과 미확정 거래 정보를 제공하는 주 서버의 역할을 구분합니다. 거래에 대기 중이라고 표시된다는 이유로 해당 수신처로의 송금을 승인해서는 안 됩니다.

원래 송금의 상태가 확인되지 않은 상황에서 무작정 송금을 새로 만들지 마세요. 이미 네트워크에 전파되었을 수 있습니다. 기존 송금의 상태를 파악하고 제안된 거래의 수신자, 금액, 수수료가 자신의 의도와 맞는지 확인할 수 있을 때만 다시 진행하세요. 일반적인 수수료 인상에서 판단 기준은 간단합니다. 무엇에 서명하는지 설명할 수 없다면 멈추세요.

일렉트럼(Electrum) 공개 서버와 직접 운영하는 신뢰할 수 있는 서버, 어느 쪽을 써야 할까요?

서버 인프라를 운영하지 않으면서 지갑을 다시 정상적으로 사용하려면, 검증을 마치고 보안 패치를 적용한 일렉트럼 클라이언트를 공개 서버에 연결하는 것이 당장 취할 수 있는 현실적인 선택입니다. 서버를 유지·관리할 준비가 된 사용자라면 신뢰할 수 있는 서버를 직접 운영하는 방법도 있습니다. 일렉트럼 보안 권고문은 직접 운영하는 서버처럼 신뢰할 수 있는 서버에 연결된 클라이언트는 이 공격의 영향을 받지 않는다고 명시합니다. 이는 해당 권고문에 설명된 악성 서버 공격에 한정된 설명입니다 . 그렇다고 보안 패치를 설치하거나 서명할 내용을 확인하는 절차를 생략해서는 안 됩니다.

서버 구조에서 알아둘 점은 일렉트럼이 약 10개의 서버에 연결되지만, 지갑 내역을 제공하고 결제 거래를 전파하는 역할은 하나의 주 서버가 맡는다는 것입니다 . 여러 서버에 연결되어 있다고 해서 대기 중인 모든 결제 거래를 각 서버가 독립적으로 검증하는 것은 아닙니다. 일렉트럼 자주 묻는 질문에서는 주 서버의 역할과 나머지 서버 연결의 역할을 구분합니다. 대체 거래를 승인할지 판단할 때 중요한 것은 연결된 서버의 수가 아니라, 대기 중인 결제 정보를 누가 제공하느냐입니다.

일렉트럼은 간편 결제 검증(SPV)이라는 방식으로 암호학적 증명을 통해 거래가 블록체인에 포함되었는지 확인합니다. 확정된 거래에는 이 검증이 적용되지만, 문서에 명시된 신뢰 모델에 따르면 미확정 거래 정보는 주 서버에 의존합니다. 두 상태는 근거의 수준이 다릅니다. 대기 중으로 표시된 거래가 블록에 포함되었다고 검증된 결제와 같은 것은 아닙니다. 일렉트럼은 개인 키가 서버로 전송되는 일은 없다고도 명시합니다 (source: 일렉트럼 문서). 개인 키를 사용자 기기에 보관하는 것과 서버가 제공한 거래 정보를 판단하는 것은 별개의 책임입니다.

이 비교는 문서에 설명된 서버 구조와 보안 권고문에서 명시한 신뢰할 수 있는 서버의 예외 조건을 따릅니다. ‘공개’라는 말은 서버의 운영 주체를 구분할 뿐, 특정 서버가 악성이라는 뜻은 아닙니다. 마찬가지로 서버를 직접 운영하면 지속적인 유지·관리 책임이 생기며, 거래를 검토할 필요가 없어지는 것은 아닙니다.

당장 실용적인 대응이 필요한 대부분의 사용자라면 공식 다운로드 사이트에서 보안 패치가 적용된 클라이언트를 받아 검증하고, 서명할 때마다 수신 주소와 금액, 수수료를 꼼꼼히 확인하는 일을 우선해야 합니다. 미확정 거래 정보의 출처를 직접 통제하는 이점이 서버 관리에 드는 수고를 감수할 만하다면 직접 운영을 고려하세요. 인프라 운영 여부는 자신의 유지·관리 역량에 맞춰 결정하되, 이를 계획하느라 지갑 업데이트를 미루지는 마세요.

일렉트럼(Electrum) 4.8.3은 무엇을 검증하며, 이번 수정으로 해결되지 않는 부분은 무엇인가요?

일렉트럼 4.8.3은 미확인 거래를 로컬 거래 내역에 반영하기 전에 해당 지갑 소유 입력의 서명을 검증합니다. 이를 통해 보고된 송금 대상 변경 공격에 사용된 위조 대기 거래가 내역에 반영되는 것을 차단합니다. 다만 입력이 다른 지갑에 속한 미확인 입금 거래까지 완전히 검증하지는 않습니다 . 지갑에 대기 중인 거래가 표시되는 것과 결제가 확정되는 것은 증거의 수준이 다르므로 이 구분이 중요합니다. 이번 패치는 지갑의 자금을 사용하는 것으로 제시된 거래에 대한 검증을 강화합니다. 서버가 입금 거래를 알려 왔다는 이유만으로 모든 입금 내역을 신뢰할 수 있게 되는 것은 아닙니다.

거래 입력은 사용할 자금을 지정하고, 서명은 그 자금을 사용할 권한을 증명합니다. 쉽게 말해, 추가된 검증 절차는 지갑의 자금을 사용하는 대기 거래에 실제로 유효한 서명이 있는지 확인한 뒤 지갑 내역에 반영합니다. 유지관리자의 보안 권고문은 악성 서버가 거래를 유효하지 않은 거래로 바꿔치기한 다음, 사용자가 수수료를 올리도록 유도해 공격자에게 보내는 유효한 송금을 생성하는 공격을 설명합니다. 위조된 거래 내역을 거부하면 해당 거래를 바탕으로 수수료를 올리기 전에 이 공격 흐름을 끊을 수 있습니다.

구현 내용은 직접 검토할 수 있습니다. 커밋 90fe30822561e515a9d2d6e5a352cc07780999eb은 파일 일곱 개를 변경하며 테스트도 포함합니다 . 이러한 세부 사항은 공개된 패치의 적용 범위를 보여 주며, 모든 지갑 보안 문제가 해결되었음을 입증하지는 않습니다. 거래자가 무엇을 신뢰할지 판단할 때 중요한 개선점은 변경 규모가 아니라 서명 검증 자체입니다.

미확인 입금은 다르게 해석해야 합니다. 입력 전체가 송금자에게 속할 수 있으므로 이번 패치가 수행하는 지갑 소유 입력 검증의 대상에서 벗어날 수 있습니다. 일렉트럼 문서에 설명된 신뢰 모델에 따르면 주 서버가 미확인 거래 정보를 제공하는 반면, 확정된 거래에는 블록체인에 포함되었는지 확인하는 간편 결제 검증이 적용됩니다. 따라서 대기 중인 입금 내역은 서버가 알려 온 거래가 있다는 뜻이며, 결제가 확정되었다는 증거와 같지 않습니다. 상품을 인도할지, 거래 상대방에게 금액을 적립해 줄지, 송금을 수령한 것으로 처리할지 결정할 때는 대기 상태와 확정 상태를 구분해야 합니다.

운영 환경을 선택할 때는 각 보안 조치의 역할을 구분하세요.

• 패치가 적용된 클라이언트: 패치에 명시된 대로, 미확인 거래를 로컬 내역에 반영하기 전에 지갑 소유 입력의 서명을 검증하여 거래 수용 과정의 결함을 해결합니다.
• 신뢰할 수 있는 서버: 공격의 전제인 악성 서버 연결 문제에 대응합니다. 유지관리자는 보안 권고문에서 신뢰할 수 있는 서버에 연결된 클라이언트는 이 공격의 영향을 받지 않는다고 밝혔습니다.
• 거래 전체 검토: 서명 시 비슷하게 생긴 수신 주소에 속는 문제에 대응합니다. 유지관리자의 지침에 따라 수수료를 올릴 때를 포함해 수신 주소와 금액을 확인하세요.

일렉트럼 결제에서 이미 이상 징후가 보인다면 어떻게 해야 할까요?

일렉트럼(Electrum) 결제에 예상하지 못한 수신 주소나 이해하기 어려운 거래 세부 정보가 표시되면 추가 서명을 중단하세요. 증거를 보존하고 거래 상태를 확인한 뒤 다음 조치를 결정하세요. 일렉트럼 보안 공지에 따르면, 바꿔치기된 무효 거래도 사용자가 수수료 인상에 서명하면 공격자에게 자금을 보내는 유효한 거래로 바뀔 수 있습니다. 따라서 서명 한 번을 더 하는 것만으로도 결과가 달라질 수 있습니다.

1. 서명 중단: 수신 주소가 왜 그렇게 표시되는지 확인하기 전에는 수수료 인상을 승인하거나 대체 결제를 보내지 마세요. 예상하지 못한 내역이 나타나면 자동으로 다시 시도할 것이 아니라 원인을 조사해야 합니다.
2. 세부 정보 보존: 원래 수신자의 전체 주소, 금액, 화면에 표시된 수신 주소, 거래 식별자가 있다면 해당 식별자, 지갑의 상태 메시지를 기록하세요. 실제 거래를 바탕으로 도움을 받을 수 있도록 화면 캡처와 관련 연락 내용을 보관하세요.
3. 상태 확인: 의심스러운 내역이 무효인지, 미확정 상태인지, 확정된 상태인지 확인하세요. 지갑의 거래 내역에 표시된다는 사실만으로 거래가 확정되었다고 볼 수는 없습니다. 일렉트럼 문서는 서버가 제공하는 미확정 거래 정보와 간편 결제 검증을 통해 확인한 확정 거래를 구분합니다.
4. 수신 주소 전체 대조: 신뢰할 수 있는 수신자 기록을 기준으로 실제 거래 출력의 주소가 원래 보내려던 주소와 일치하는지 확인하세요. 주소 끝부분이 익숙해 보인다는 이유만으로 믿지 마세요. 주소가 다르다면 그 차이를 증거로 남기고 추가 서명 전에 도움을 요청하세요.

보안 공지는 GHSA-6jp4-8v48-cc5v의 심각도를 높음으로 분류하고 CVE-2026-117601을 기재했습니다. 유지관리자들은 신고 두 건을 받았지만, 공지에는 피해 금액이나 전체 피해자 수가 제시되어 있지 않습니다 . 이 한계를 염두에 두어야 합니다. 기록된 신고로 취약점이 실제로 악용되었다는 사실은 확인할 수 있지만, 전체 피해 규모까지 알 수는 없습니다.

• 2026년 10월 11일: 유지관리자 보안 공지에 따르면 최초 제보가 이루어졌습니다 .
• 2026년 10월 18일: 라주 케이12(Raju-K12)가 금전적 피해를 신고했습니다 .
• 2026년 10월 23일: 릴리스 노트에는 보안 업데이트 날짜가 이날로 기재되어 있습니다 .
• 2026년 10월 24일: 실행 파일이 배포되고 취약점 정보가 일반에 공개되었습니다 .
• 2026년 10월 29일: 확인 당시 공식 다운로드 사이트에는 일렉트럼 4.8.3이 최신 버전으로 안내되어 있었습니다 .

상황에 맞는 다음 조치를 선택하세요. 지갑 버전이 4.8.3보다 낮다면 추가 서명 전에 진위를 검증한 수정 버전을 설치하세요 . 공식 다운로드 사이트의 서명 검증 안내를 따르세요. 이미 보안 패치를 적용했더라도 서명할 때마다 전체 주소와 금액을 확인하세요. 공격자에게 자금을 보내는 결제로 보인다면 증거를 보존하고, 별도로 진위를 확인한 지원 창구를 통해 해당 상황에 맞는 도움을 요청하세요. 업데이트는 취약점을 해결하지만, 이전 결제가 어떻게 되었는지까지 알려주지는 않습니다. 다른 거래를 승인하기 전에 수신 주소와 거래 상태를 명확히 확인하세요.

자주 묻는 질문

거래 수신 주소가 바뀌는 취약점은 일렉트럼 어느 버전에서 수정됐나요?

일렉트럼(Electrum) 4.8.3에서 이 취약점이 수정됐습니다. 유지관리자의 보안 권고문에 따르면 4.8.3 미만 버전이 영향을 받습니다 . 2026년 10월 29일 기준 공식 다운로드 사이트에는 이 버전이 최신 버전으로 표시돼 있었습니다. 설치하기 전에 해당 사이트에서 이후에 나온 버전이 있는지 확인하세요 .

비트코인 주소의 마지막 네 글자만 확인해도 충분한가요?

아니요. 보안 권고문에 따르면 두 제보 모두 공격자의 주소가 원래 수신 주소의 마지막 네 글자와 일치했다고 설명합니다 . 서명할 때마다 수신 주소 전체를 별도로 검증한 목적지 주소와 대조하고 금액도 확인하세요. 거래 수수료를 올릴 때도 마찬가지입니다.

악성 일렉트럼 서버가 사용자의 개인 키를 확보했나요?

보고된 공격은 서버가 개인 키를 확보하지 않고도 가능했습니다. 일렉트럼 문서에 따르면 개인 키는 서버로 전송되지 않습니다. 유지관리자의 보안 권고문에서 설명하듯, 악성 서버는 대기 중인 거래 정보를 위조해 제공했습니다. 이후 사용자가 수수료를 올리자 지갑이 공격자에게 보내는 유효한 송금 거래에 서명하게 됐습니다.

일렉트럼 서버를 직접 운영하면 이 공격을 막을 수 있나요?

네. 다만 그 서버를 신뢰할 수 있어야 합니다. 유지관리자의 설명에 따르면 직접 운영하는 서버처럼 신뢰할 수 있는 서버에 연결된 클라이언트는 이 공격의 영향을 받지 않습니다. 서버를 소유했다는 사실만으로 신뢰성이 보장되지는 않습니다. 실제로 지갑에 거래 정보를 제공하는 서버를 신뢰할 수 있어야 한다는 뜻입니다. 진위를 확인하고 보안 패치가 적용된 클라이언트를 설치해 사용하고, 서명할 때마다 수신 주소와 금액을 계속 확인하세요.

일렉트럼을 업데이트하면 이미 공격자에게 보낸 비트코인을 되찾을 수 있나요?

아니요. 업데이트는 취약한 거래 수용 방식을 수정할 뿐, 이미 확정된 비트코인 송금을 되돌리지는 않습니다. 이번 패치는 미확정 거래에서 지갑 소유의 입력에 대한 서명 검사를 추가합니다. 보안 권고문은 서버가 제공한 유효하지 않은 거래와, 수수료를 올려 거래를 대체하는 과정에서 생성된 공격자 대상의 유효한 송금 거래를 구분합니다. 다음 조치를 결정하기 전에 실제로 어떤 거래가 네트워크에 전파됐는지, 수신 주소는 어디인지, 거래가 확정됐는지 확인하세요.