비트코인 생태계의 코드를 가장 많이 들여다본 건 사람이 아니라 중국산 AI 모델이었다.
암호화폐 미디어 코인뷰로(Coin Bureau)가 2026년 8월 14일 오전 4시 30분(KST) X에 올린 소식이다(원문). 비트코인 레드팀(Bitcoin Red Team)이 문슈AI(Moonshot AI)의 Kimi K3를 주력 도구로 써서 오픈소스 코드를 스캔했고, 약 8,000건의 결함을 찾아냈다는 내용이다.
왜 중국 AI였나
코인뷰로가 인용한 이유는 접근성 문제였다. 미국 AI 랩들이 보안 작업을 위한 모델 접근을 제한하면서, 팀은 Kimi K3를 주력 무기로 삼았다는 것이다.
비트코인 레드팀은 익명 개발자 'Calle'가 이끄는 것으로 알려진 자발적 보안 감사 그룹이다. 앞선 8월 9일 게시물에서는 콜드카드(Coldcard) 지갑의 1억3,000만달러 규모 익스플로잇 사건 이후 결성됐으며, Kimi K3·GPT Sol·Opus를 동원해 30시간 만에 390개 프로젝트에서 4,962건의 결함을 찾았다고 밝힌 바 있다.
이번 8월 14일 갱신 게시물에서는 누적 결과로 "약 8,000건 발견, 1,280건이 critical 또는 high 등급"이라고 전했다.
숫자를 그대로 믿기 전에
여러 매체가 이 소식을 다뤘다. Decrypt, crypto.news 등은 "7,958건 발견, 약 390개 프로젝트, 1,280건 critical·high"로 보도했다. 코인뷰로가 이번 게시물에서 밝힌 "501개 프로젝트"는 다른 매체의 "약 390개"와 차이가 있다 — 정확한 프로젝트 수는 매체·집계 시점에 따라 다르게 보도되고 있어 이 글에서는 확정하지 않는다.
또한 X 댓글에서 지적됐듯, "결함 8,000건 발견"이 곧 "치명적 취약점 8,000개"를 뜻하지는 않는다. AI가 잠재 문제를 표시(flag)한 수치와, 실제로 악용 가능한 취약점으로 확인된 수치는 다르다. 확인된 사안 중 critical·high로 분류된 것이 1,280건이라는 게 이번 보도의 핵심 수치다.
AI 취약점은 검증 후보로 보세요
이 사례가 보여주는 건 대규모 오픈소스 생태계를 사람 손으로 전수 감사하는 게 사실상 불가능하다는 점, 그리고 AI가 그 격차를 메우기 시작했다는 점이다. 다만 발견된 문제는 유지보수자의 검증·패치를 거쳐야 실제 보안 개선으로 이어진다.
보안팀을 운영하는 조직이라면 'AI 스캔 결과 = 확정된 취약점'이 아니라 '사람이 우선순위를 매겨야 할 후보 목록'으로 다뤄야 한다는 점이 이번 사례의 실무적 교훈이다.
비트코인 감사 원문은 미확인
코인뷰로 계정은 "Official Coin Bureau X account"로 소개되지만, 비트코인 레드팀의 공식 보고서 원문은 이번 검증 과정에서 직접 확인하지 못했다. 프로젝트 수 등 세부 수치 불일치는 원문 보고서 확인 전까지 확인하지 못한 항목으로 남긴다.
