하드웨어 암호화 지갑의 신뢰 위기
하드웨어 암호화 지갑 시장은 Coldcard 장치의 기술적 결함으로 인해 해커들이 500개 이상의 비트코인 주소를 완전히 비울 수 있게 되면서 심각한 신뢰 위기에 직면했습니다. 단일 자동 공격에서 범죄자들은 594.48 BTC, 약 3,830만 달러에 해당하는 금액을 한 지갑으로 이체했습니다.
피터 토드의 회의론
이 논의에는 HBO 다큐멘터리에서 비트코인 창시자 사토시 나카모토로 지목된 유명 비트코인 개발자 피터 토드가 빠르게 참여했습니다. 토드에게 이 사건은 상업적 암호화 기기에 대한 그의 오랜 회의론을 다시 한번 확인시켜주는 사건이 되었습니다.
지갑 보안의 취약성
지갑 보안은 시드 문구 생성 시의 무작위성에 전적으로 의존합니다. 그러나 2021년 3월 이후 Coldcard 펌웨어에서 이 메커니즘이 제대로 작동하지 않았던 것으로 드러났습니다. Block Security에 따르면 거의 모든 모델이 취약합니다: Mk2, Mk3, Mk4, Q 및 Mk5.
구형 장치에서는 코드베이스의 오류로 인해 내장 하드웨어 생성기가 비활성화되어 지갑이 예측 가능한 소프트웨어 알고리즘을 통해 키를 생성하게 되었습니다. 신형 모델에서는 데이터의 중요한 부분이 잘리게 되었습니다. 그 결과, 가능한 비밀 문구 조합의 수가 최소로 줄어들어 해커들이 컴퓨터에서 몇 분 안에 이를 무차별 대입할 수 있게 되었습니다.
“저는 항상 하드웨어 지갑에 회의적이었습니다. 많은 돈을 지불하고 코드 몇 줄을 볼 수 있는 장치를 사는 것이고, 공급망 공격으로 백도어가 있을 수 있는 하드웨어에서 작동하는 것입니다,”라고 피터 토드는 X에서 말했습니다.
산업의 변화 필요성
개발자에 따르면, 이 사건은 프로젝트의 코드베이스에 대한 독립적인 검토와 감사가 치명적으로 부족하다는 완벽한 사례입니다. 이제 산업은 실제 하드웨어에 대한 종단 간 결정론적 테스트로 나아가야 하며, 이를 통해 엔트로피가 정확히 어디서 오는지를 알 수 있게 될 것입니다.
칩을 맹목적으로 신뢰하는 대신, 토드는 카드 덱을 사용한 물리적 생성 방법을 시연했으며 버튼 기반 RNG에 대한 그의 이전 제안을 회상했습니다. 멀티시그 구성에서 하드웨어 지갑을 추가하는 것은 합리적입니다. 그러나 싱글시그의 경우, 잘 감사된 소프트웨어를 일반 하드웨어에서 사용하는 것이 더 나을 수 있습니다.
비트코인 보호를 위한 조치
Block Security의 새로운 데이터는 멀티시그 설정이 여전히 안전하다는 희망을 약화시킵니다. 모든 다중 서명 키가 취약한 Coldcard 장치에서 생성되었다면, 해커들은 이를 하나씩 손상시킬 수 있습니다. 결함은 시드 문구가 생성되는 순간에 도입되며, 단순히 단어를 다른 장치로 내보내는 것으로는 해결되지 않습니다.
현재 비트코인을 보호하는 유일한 방법은 자산을 완전히 대피시키는 것입니다. 전문가들은 사용자들에게 즉시 제3자 하드웨어에서 새로운 시드 문구를 생성하고 모든 자금을 새로운 주소로 물리적으로 이체할 것을 촉구하고 있습니다. 초기 설정 시 추가 BIP-39 패스프레이즈를 추가한 사용자만이 보호받고 있으며, 이는 무차별 대입 공격에 대한 또 다른 장벽을 생성합니다.
