Coldcard 도난 사건 이후 Jameson Lopp, AI가 지갑 보안을 재편하고 있다고 주장

Casa 공동 설립자 Jameson Lopp에 따르면 8,300만 달러 이상의 Coldcard 비트코인 도난 사건 뒤에 있는 결함은 단일 하드웨어 지갑의 실패를 넘어선 문제입니다. 이는 인공지능이 공격자와 방어자 모두에게 소프트웨어 취약점을 발견하는 데 필요한 시간을 줄이면서 사이버 보안의 더 넓은 변화를 보여줍니다.

The Block의 The Starting Block podcast에서 Lopp는 대규모 언어 모델(LLM)이 버그 발견 비용을 최소화함으로써 소프트웨어 보안 방식을 변화시키고 있다고 주장했습니다.

“대규모 언어 모델의 발전은 보안 환경을 급격히 변화시키고 있다”며, 그는 콜드코어(Coldcard) 사건이 이러한 현상의 초기 사례 중 하나라고 주장했고, 이는 많은 지갑에 영향을 미칠 것으로 예상된다.

양날의 검이 되는 경쟁

롭(Lopp)에 따르면, 이는 하드웨어의 오작동이라기보다 보안 소프트웨어의 변화 문제다. AI 기반 코드 분석은 이제 자금력이 풍부한 보안 팀만의 특권이 아닌 주류가 되었다. 그 결과, 공격자들은 개발자들이 취약점을 발견하기 전에 공개된 코드 저장소에서 누락된 취약점에 접근할 수 있게 되었다.

Coinkite의 CEO인 로돌포 노박(Rodolfo Novak)은 펌웨어 버그에 대한 자신의 책임을 인정하면서도 같은 결론에 도달했다. 그에 따르면 이 사건은 “새로운 AI 패러다임의 냉정한 현실”이며, AI 지원 감사들은 전통적인 수동 감사보다 훨씬 빠르게 결함을 발견할 수 있다.

놀랍게도 Cryptopolitan의 이전 보고서에서는 Coinkite가 해킹을 당하기 전에 코딩 분석을 위해 인공지능 애플리케이션을 고용했다고 언급했다.

Tradingview의 보도에 따르면, 해당 분석은 취약점을 감지하지 못했으며, 이는 공격자와 방어자 모두 유사한 AI 기술에 접근할 수 있어 결함을 먼저 발견한 쪽에 유리함을 시사합니다.

기기 내부에서 실제로 무슨 일이 잘못되었는가

이 취약점은 일부 Coldcard 펌웨어 버전에서 복구 지갑 키를 생성하는 방식 때문에 발생했다. 뉴욕 포스트가 보도한 Block의 비트코인 엔지니어링 및 보안 팀의 정보에 따르면, 취약한 장치들은 적절한 무작위성 대신 예측 가능한 칩 정보(예: 프로세서 시리얼 넘버 및 클록 데이터)를 사용하여 숫자를 생성했다.

그 결과, 사이버 범죄자들은 지갑에서 사용된 복구 문구를 재구성하여 지갑에 물리적으로 접근하지 않고도 자금을 훔칠 수 있었다.

결함이 있는 펌웨어는 2021년 3월에 도입되었으며, 버전 4.21 출시 시에만 수정되었습니다. Coinkite에 따르면 펌웨어를 업데이트하는 것만으로는 문제가 해결되지 않습니다. 결함이 있는 버전으로 지갑을 생성한 사용자는 이전에 사용된 복구 문구와 밀접하게 연결되어 있으므로 새 복구 시드를 생성하고 자금을 이체해야 합니다.

Galaxy Research에 따르면, 범죄자들은 7월 30일 약 40분 만에 1,196개의 지갑에서 1,082.65 BTC를 훔치는 데 성공했다. 이후 더 많은 공격이 발생했으며, Galaxy의 알렉스 손(Alex Thorn)이 마지막으로 목격한 파도는 이전 공격이 단일 서명(single-sig) 사용자에게만 집중되었던 것과 달리 멀티 시그(multi-sig) 지갑 소유자를 겨냥한 것으로 보인다.

인기 비트코인 코멘테이터인 가이 스완(Guy Swann)은 이 사건을 가상 화폐의 신중한 소유자들에게 있어 “비트코인 역사상 최악의 타격”이라고 말했다.

‘신뢰하지 말고 검증하라’가 통하지 않는 지점

롭(Lopp)에게 있어 이 침해 사건은 비트코인의 가장 잘 알려진 원칙 중 하나인 “신뢰하지 말고 검증하라(Trust, Verify)”의 한계를 드러낸다.

“좋은 구호(mantra)이지만, 복잡한 소프트웨어와 하드웨어를 검증하는 것은 인구의 99.9%에게 단순히 실현 불가능하다는 점을 이해해야 한다”고 그는 말했다.

롭(Lopp)에 따르면, 사용자는 결국 정보를 검증하기 위해 제3자를 신뢰하게 될 것이다. 자신의 지갑 사용 능력을 포기하기보다는, 롭은 다중 하드웨어 지갑과 소프트웨어 애플리케이션을 활용하여 신뢰를 분산시킬 것을 사용자에게 권고한다.

Foundation의 CEO인 자크 허버트(Zach Herbert)는 팟캐스트에서 동일한 의견을 표명하며, 한 가지 사례만으로 자가 보관(self-custody)이 실패했다고 결론짓는 것은 “매우 위험하다”고 말했다. 오히려 그는 업계가 보안 관행을 개선해야 한다고 제안한다.

ARK Invest와 관련된 로렌소 발렌테(Lorenzo Valente)는 많은 사용자가 단순히 거래소 상대방 리스크를 “소프트웨어 리스크, 하드웨어 리스크, 공급망 리스크, 피싱 리스크, 백업 리스크”로 교환했을 뿐이라고 주장했다.

독립 감사의 필요성

이번 사건은 벤더의 자체 검토에 완전히 의존하는 대신, 독립적인 당사자에 의한 펌웨어 감사를 다시 한번 요구하게 만들었다. Cryptopolitan은 최근 오픈 소스 코드가 충분한 보안을 제공하는지에 대해 논의한 기사를 게시했으며, Coldcard 사건은 이 주장을 뒷받침하는 또 다른 증거다.

Tangem의 최고 기술 책임자(COO)인 앤드류 라주트킨(Andrew Lazutkin)에 따르면, 공개적으로 접근 가능한 코드가 안전하다고 가정해서는 안 된다. 그는 “보안은 강력한 아키텍처, 철저한 테스트, 그리고 독립적인 검증을 통해 확보된다”고 설명했다.

롭(Lopp)은 주요 하드웨어 지갑의 결함이 “열두 번” 정도 발생했으며, 이러한 모든 사건이 업계의 개선에 기여했다고 믿는다. 이제 답해야 할 다음 질문은 Coinkite가 AI 기반 해커들이 다음 취약점을 발견하기 전에 약속한 기술 사후 분석과 더 광범위한 독립 보안 평가를 구현할 것인지 여부다.