'BitForge' 보안 결함, 바이낸스, 코인베이스 및 기타 암호화폐 거래소 위협 

최근 공개된 정보에 따르면, 주요 암호화폐 지갑 제공업체 다수가 잠재적인 보안 침해에 취약한 것으로 나타났습니다. 이제 ‘BitForge’로 알려진 이러한 취약점은 전 세계가 채택 증가와 더 강화된 규제 감독에 대응하는 가운데, 암호화폐 영역에 내재된 사이버 위험을 부각시켰습니다.

사이버 보안 기업 파이어블록스(Fireblocks)는 블랙햇 USA 컨퍼런스에서 자신의 findings를 발표하며, 시장 점유율의 80% 이상을 차지하는 15개 이상의 주요 암호화폐 지갑이 영향을 받았다고 밝혔습니다. 이러한 취약점은 바이낸스(Binance) 및 코인베이스(Coinbase)를 포함한 유명 거래소의 사용자 자금을 손실시킬 수 있었습니다.

이러한 보안 결함은 주로 다자간 계산 프로토콜(MPCs)을 표적으로 삼았습니다. MPC는 일반적으로 개인 키를 여러 조각으로 분할하여 서로 다른 장치에 분산시킵니다. 이 방법은 이상적으로 보안을 강화해야 합니다. 그러나 특정 MPC 구현 방식에서는 악의적인 행위자가 단 16번의 거래 후 전체 키에 접근할 수 있는 것으로 발견되었습니다. 이러한 연이은 거래는 고빈도 지갑에서 몇 초 이내에 발생할 수 있습니다.

파이어블록스의 CEO인 마이클 샤울로브(Michael Shaulov)는 이러한 취약점을 악용하는 단순성을 설명했습니다. 그는 “BitForge 취약점은 일반적인 사이버 공격 메커니즘과 일치하여 작동합니다. 멀웨어에 감염된 사용자 한 명만 있으면 충분합니다.”라고 언급했습니다. 이는 종종 피싱 사기를 통해 사용자를 속여 악성 소프트웨어를 다운로드하거나 민감한 데이터를 공개하도록 유도하는 멀웨어의 끊임없는 위협을 강조합니다.

이러한 취약점의 공개는 암호화폐 범죄의 혼합된 상황 속에서 이루어졌습니다. 2023년 상반기 전체 금액은 2022년 대비 65% 감소한 33억 달러였으나, 랜섬웨어 공격(피해자의 파일을 암호화하고 해제 대가로 일반적으로 암호화폐를 요구하는 악성 소프트웨어)은 급격히 증가하고 있습니다. 올해 이러한 공격은 2021년의 9억 4천만 달러에 이어 거의 9억 달러에 달할 것으로 예측됩니다.

국제 사회와 규제 기관은 디지털 자산과 관련된 사이버 보안에 오랫동안 우려를 표명해 왔습니다. 암호화폐 절도 사건의 급증에 따라 많은 정부가 디지털 자산 및 제공업체를 규제 프레임워크 내에 통합하기 위한 노력을 강화하고 있습니다. 예를 들어, 홍콩 증권 및 선물 위원회(SFC)는 현재 관할권 내에서 운영되는 암호화폐 거래소에 라이선스 취득을 의무화하고 있습니다. 이 조치는 사이버 보안, 개인 키 관리 등 다른 영역에서 기준을 설정하려는 시도입니다.

그러나 불확실성은 여전히 존재합니다. 파이어블록스는 상당수의 지갑 제공업체에서 취약점을 특정했지만, 이러한 결함이 있는 MPC 구현 방식의 정확한 영향을 받은 수를 파악하는 것은 여전히 어렵습니다.

BitForge 심층 분석

파이어블록스의 연구는 특정 다자간 계산(MPC) 프로토콜, 특히 GG-18, GG-20 및 Lindell17의 구현에서 취약점을 특정했습니다. 이러한 취약점은 표준 구현에서의 편차나 기존 결함을 패치하기 위한 이전 노력으로 거슬러 올라갑니다.

특히 GG-18 및 GG-20 프로토콜은 이전의 취약점 수정 시도가 의도치 않게 새로운 취약점을 도입한 문제를 겪었습니다. 반면 Lindell17의 결함은 원래 학술 사양에서의 편차와 실패한 서명의 부적절한 처리와 관련이 있었습니다.

산업 간 협력의 증거로, 파이어블록스는 90일간의 공개 절차를 진행했습니다. 그들의 노력은 선제적인 대응과 맞물렸습니다. 특히 코인베이스 WaaS와 젠고(Zengo)를 포함한 주요 지갑 제공업체는 보안 결함을 신속하게 해결하고 수정한 공로를 인정받았습니다.

디지털 화폐가 세계 금융 구조에 계속 융합됨에 따라, 사이버 보안 유지가 제공업체와 규제 기관 모두에게 최우선 과제로 남을 것임은 분명합니다.