- BitGo는 최근 이더리움 및 ERC-20 임계값 서명 방식(TSS) 지갑의 취약점을 패치했습니다.
- BitGo는 소량의 자바스크립트 코드를 사용하여 공격자가 빠르게 개인 키를 추출할 수 있다는 주장을 부인했습니다.
암호화폐 지갑 서비스 제공업체인 BitGo는 최근 출시된 이더리움(ETH) 및 ERC-20 임계값 서명 방식(TSS) 지갑에서 식별된 취약점을 패치했습니다. ETH TSS 핫 지갑에 대한 초기 발표는 2022년 10월 31일에 이루어졌으며, 사용자에게 더 낮은 가스비를 약속했습니다. GitHub의 BitGo 개발자들은 2022년 12월 9일 업데이트를 전달하며, 해당 서비스가 제3자 검증 키 공유 및 서명 공유에 대한 완전한 지원을 가지고 있지 않다고 밝혔습니다.
블록체인 인프라 회사인 Fireblocks는 주장했습니다. 그들은 2022년 12월 취약점을 식별하고 BitGo에 통보했다고 밝혔습니다. Fireblocks의 보도자료에 따르면, 이 취약점은 거래소, 은행, 기업 및 플랫폼 사용자의 개인 키를 노출시킬 수 있었습니다.
하지만 BitGo는 이후 블로그 게시글을 통해 Fireblocks의 이러한 주장을 부인했으며, 자체 개발팀이 이미 제3자 검증 부재를 파악했으며, 이는 GitHub 문서에 명시된 대로 할 일 목록에 있었다고 강조했습니다. Cryptopolitan에 보낸 문제澄清을 위한 메시지에서는 지갑 서비스 제공자가 사용자 자금이나 개인 키가 해당 취약점을 통해 침해되거나 유출될 위험이 결코 없었다고 강조했습니다.
BitGo, Fireblocks의 공개 주장 기각
Cryptopolitan은 BitGo의 고객들이 취약점이 발견되었을 당시 MPC 지갑 유형을 사용하여 암호화폐 자산을 저장하는 데 적극적으로 사용하지 않았다고 이해하고 있습니다. 그러나 BitGo 직원 및 기여자를 포함한 20명의 개발자가 초기 접근 권한을 가지고 있었으며, BitGo의 핵심 지갑 코드가 오픈 소스였기 때문에 Fireblocks 엔지니어들이 테스트를 수행할 수 있었습니다.
BitGo는 작년에도 키 및 서명 공유에 대한 제3자 검증 부재를 공개했지만, Fireblocks의 주장에 대한 회사의 반응은 그리 호의적이지 않았습니다. 블로그 게시글에서 BitGo는 Fireblocks를 '경쟁사'로 지칭하며 '알려진 격차를 홍보 행위로 전환하려는' 시도를 하고 있다고 언급했습니다.
Fireblocks는 이 취약점이 잠재적 공격자가 소량의 자바스크립트 코드를 사용하여 개인 키를 빠르게 추출할 수 있게 할 것이라고 주장했습니다. 회사는 메인넷에서 무료 BitGo 계정을 사용하여 이 익스플로잇을 식별했으며, BitGo의 ECDSA TSS 지갑 프로토콜에서 필수 제로 지식 증명(zero-knowledge proofs)의 누락된 부분이 팀이 간단한 공격을 통해 개인 키를 노출시킬 수 있게 했다고 밝혔습니다.
BitGo는 이러한 주장을 반박하며, 2022년 12월 10일에 취약한 서비스를 중단하고 2023년 2월에 클라이언트가 3월 17일까지 최신 버전으로 업데이트해야 하는 패치를 출시했다고 밝혔습니다. 그들은 초기 접근 지갑만 영향을 받았으며, 현재 어떤 고객도 이를 사용하지 않는다고 밝혔습니다.
산업 표준 엔터프라이즈급 암호화폐 자산 플랫폼은 단일 공격 지점의 가능성을 제거하기 위해 MPC 또는 다중 서명 기술 중 하나를 사용합니다. 이는 한 당사자가 침해되더라도 보안 통제를 보장하기 위해 개인 키를 여러 당사자 간에 분배하여 수행됩니다.
암호화폐 산업은 많은 해킹 사태에 직면해 왔습니다. Cryptopolitan은 최근 Euler Finance 해킹 사건을 밝혔으며, 이로 인해 막대한 자금이 손실되었습니다. 2022년 8월, 솔라나 블록체인에서 7,000개 이상의 지갑에서 800만 달러 이상이 도난당했습니다. 한편, 알고랜드 네트워크의 MyAlgo 지갑 서비스 해킹 사건에서는 수많은 유명 지갑에서 900만 달러 이상이 유출되었습니다.
가장 똑똑한 암호화폐 전문가들이 이미 우리 뉴스레터를 구독하고 있습니다. 참여하고 싶으신가요? 함께하세요.
면책 조항. 제공된 정보는 거래 조언이 아닙니다. Cryptopolitan.com은 이 페이지에 제공된 정보를 바탕으로 이루어진 어떠한 투자에 대해서도 책임을 지지 않습니다. 어떠한 투자 결정을 내리기 전에 반드시 독자적인 조사나 자격을 갖춘 전문가의 상담을 강력히 권장합니다.
다밀롤라 로런스
다밀롤라 로런스는 5 년 이상 암호화폐 시장과 기술 관련 뉴스를 보도해 왔습니다. 그는 이전에 TheShibMagazine, CryptoMode, Qweens Magazine, The Recording Academy 에서 암호화폐 인사이트와 분석을 공유했으며, 웹3 분야로 전환했습니다. Cryptopolitan 에서는 암호화폐 가격 예측 전문가로 활동하고 있습니다. 학사 학위를 마친 후 현재 Maria Curie-Skłodowska 대학교에서 IT 사이버보안 석사 과정을 이수 중입니다.
