Ledger, Trezor Safe 3 및 Safe 5 모델의 보안 결함 발견

Trezor의 최신 하드웨어 지갑인 Safe 3과 Safe 5는 3월 12일에 공개된 Ledger의 보고서에 따르면 심각한 보안 문제가 있다.

보고서는 보안 연구 팀인 Ledger Donjon이 이러한 장치의 마이크로컨트롤러에 해커가 사용자 자금에 원격으로 접근할 수 있는 많은 취약점이 있음을 발견했다고 밝혔다.

이러한 결함은 EAL6+ 인증을 받은 시큐어 엘리먼트를 포함하는 2칩 설계로 업그레이드된 Trezor에도 불구하고 발생했다. 시큐어 엘리먼트는 PIN과 개인 키를 보호하지만, Ledger의 보고서는 모든 암호화 연산이 여전히 전압 글리칭 공격에 취약한 마이크로컨트롤러에서 수행된다고 밝혔다.

악용될 경우, 공격자는 암호화 비밀을 추출하고 펌웨어를 수정하며 보안 검사를 우회하여 사용자 자산을 위험에 빠뜨릴 수 있다.

Trezor의 새로운 보안 설계는 중요한 작업을 보호하지 못함

Trezor는 2023년 말 Safe 3을 출시했고, 2024년 중반 Safe 5를 출시했으며, 두 지갑 모두 구형 Trezor 모델에서 사용된 단일 칩 아키텍처에서 벗어나기 위해 업그레이드된 2칩 설계를 도입했다.

이 업그레이드에는 Infineon의 Optiga Trust M 시큐어 엘리먼트도 추가되었으며, 이는 PIN과 암호화 비밀을 저장하기 위한 전용 보안 칩이다.

Ledger의 조사 결과에 따르면, 이 시큐어 엘리먼트는 올바른 PIN이 입력되지 않는 한 민감한 데이터에 대한 접근을 방지한다. 또한 이전에 Trezor One 및 Trezor T와 같은 모델에서 시드 구문을 추출하는 데 사용되었던 전압 글리칭과 같은 하드웨어 공격도 차단한다.

하지만 이러한 개선에도 불구하고, Ledger Donjon의 연구에 따르면 주요 암호화 기능(거래 서명 포함)이 여전히 주요 보안 약점인 마이크로컨트롤러에서 수행된다.

Safe 3과 Safe 5에 사용되는 마이크로컨트롤러는 TRZ32F429로 표시되어 있으며, 이는 실제로 커스텀 패키징된 STM32F429 칩이다.

이 칩은 플래시 메모리에 대한 전체 읽기/쓰기 접근을 허용하는 공격자가 전압 글리칭 익스플로잇을 사용할 수 있는 알려진 취약점이 있다.

공격자가 펌웨어를 수정하면 엔트로피 생성을 조작할 수 있으며, 이는 암호화 보안에서 중요한 역할을 한다. 이는 개인 키의 원격 도난으로 이어져 해커가 사용자 자금에 완전히 접근할 수 있게 된다.

인증 시스템이 마이크로컨트롤러 무결성을 확인하지 못함

Trezor는 장치를 확인하기 위해 암호화 인증을 사용하지만, Ledger Donjon은 이 시스템이 마이크로컨트롤러의 펌웨어를 확인하지 않는다는 것을 발견했다.

Optiga Trust M 시큐어 엘리먼트는 생산 중에 공개-개인 키 쌍을 생성하며, Trezor는 공개 키에 서명하여 인증서에 임베딩한다. 사용자가 지갑을 연결하면 Trezor Suite는 장치가 개인 키를 사용하여 서명해야 하는 무작위 챌린지를 보낸다. 서명이 유효하면 장치는 인증된 것으로 간주된다.

하지만 Ledger의 연구에 따르면 이 과정은 시큐어 엘리먼트만 확인하고 마이크로컨트롤러나 그 펌웨어는 확인하지 않는다.

Trezor은 사전 공유 비밀키를 사용하여 보안 요소(Secure Element)와 마이크로컨트롤러를 연결하려고 시도했으며, 이 비밀키는 제조 과정에서 두 칩 모두에 프로그래밍됩니다. 보안 요소는 마이크로컨트롤러가 이 비밀키에 대한 지식을 증명할 경우에만 서명 요청에 응답합니다.

문제는 무엇일까요? 이 사전 공유 비밀키는 전압 글리칭(voltage glitching) 공격에 취약한 마이크로컨트롤러의 플래시 메모리에 저장되어 있습니다.

Ledger의 팀은 비밀키를 추출하고 칩을 재프로그래밍하여 인증 프로세스를 완전히 우회하는 데 성공했습니다. 이는 공격자가 Trezor의 보안 검사를 통과하면서도 펌웨어를 수정할 수 있음을 의미합니다.

Ledger의 보고서는 그들이 TRZ32F429의 패드를 표준 헤더로 분리할 수 있도록 맞춤형 공격 보드를 구축한 방법을 설명합니다.

이 설정을 통해 그들은 마이크로컨트롤러를 공격 시스템에 장착하고, 사전 공유 비밀키를 추출하며, 탐지되지 않은 상태로 장치를 재프로그래밍할 수 있습니다.

재프로그래밍된 후에도 암호화 증명 시스템이 변경되지 않았기 때문에 장치는 Trezor Suite에 연결되었을 때 여전히 정품으로 보입니다.

이는 손상된 Trezor Safe 3 및 Safe 5 지갑이 악성 펌웨어를 숨겨 실행하면서 사용자 자금을 훔치는 동안 정품 장치로 판매될 수 있는 위험한 상황을 만듭니다.

펌웨어 검증이 우회되어 사용자가 노출됩니다.

Trezor Suite에는 펌웨어 무결성 검사가 포함되어 있지만, Ledger Donjon은 이 보호 장치를 완전히 우회하는 방법을 발견했습니다.

펌웨어 검사는 장치에 무작위 챌린지를 보내고, 장치가 해당 챌린지와 펌웨어를 사용하여 암호화 해시를 계산하는 방식으로 작동합니다. Trezor Suite는 이 해시를 정품 펌웨어 버전의 데이터베이스와 대조하여 검증합니다.

처음에는 이 방법이 꽤 효과적으로 보입니다. 공격자가 가짜 해시를 하드코딩할 수 없는 이유는 무작위 챌린지를 미리 알 수 없기 때문이며, 따라서 장치는 실시간으로 해시를 계산하여 정품 펌웨어를 실행 중임을 증명해야 합니다.

그러나 Ledger Donjon은 이 보호 장치를 완전히 우회하는 방법을 발견했습니다. 마이크로컨트롤러가 이 계산을 처리하므로, 공격자는 유효한 응답을 위조하기 위해 펌웨어를 수정할 수 있습니다.

장치가 해시를 계산하는 방식을 조작함으로써 공격자는 어떤 펌웨어 버전도 정품으로 속일 수 있습니다. 이는 수정된 소프트웨어를 실행하면서도 Trezor Suite의 검증 검사를 통과할 수 있게 하므로 심각한 문제입니다.

결과적으로 손상된 Trezor Safe 3 또는 Safe 5는 정품처럼 보이지만 비밀 키를 유출하거나 거래 데이터를 변경할 수 있습니다.

Ledger의 보고서는 Safe 3과 Safe 5를 완전히 보안하려면 마이크로컨트롤러를 더 안전한 대안으로 교체해야 한다고 결론 내립니다. Trezor Safe 5는 공개적으로 알려진 펌웨어 주입 공격이 없는 더 현대적인 마이크로컨트롤러인 STM32U5를 포함하고 있습니다—적어도 현재까지는요.

하지만 여전히 전용 보안 요소가 아닌 표준 마이크로컨트롤러이므로, 새로운 공격 방법이 발견될 위험은 남아 있습니다.

Trezor은 이미 취약점을 패치했지만 근본적인 보안 우려는 남아 있습니다. 마이크로컨트롤러 자체가 완전히 보안되지 않는 한, 사용자는 Ledger Donjon의 연구로 이미 우회 가능함이 입증된 Trezor의 소프트웨어 보호를 신뢰해야 합니다.