하드월렛 공급망 신뢰할 수 있나?…보안 전문가 '의문'

암호화폐 사용자들은 하드월렛 제조부터 최종 수령까지 이어지는 공급망을 얼마나 신뢰할 수 있을까. 최근 하드월렛 제조사 레저(Ledger)의 기기에서 악성 임플란트가 발견되면서, 공인 판매업체를 통해서 구매한 기기조차 최종 사용자에게 도달하기 전 중간 유통 과정에서 발생할 수 있는 위변조 가능성에 대한 우려가 증폭되고 있다.

보안 전문가 조 그랜드(Joe Grand)는 화요일 코인텔레그래프와의 인터뷰에서 일반적인 암호화폐 사용자들은 하드월렛의 정교한 위변조 시도를 현실적으로 감지하기 어렵다고 지적했다. 하드웨어 보안 전문가인 그는 잠긴 지갑에서 암호화폐를 복구하는 데 도움을 주었으며, 트레저(Trezor) 및 키키(KeepKey)와 같은 지갑 제조에 사용되는 메모리 칩에서 데이터를 추출하고 보안 장치를 우회하는 기술을 개발하기도 했다.

그는 “사람들에게 기기를 어떻게 살펴봐야 하는지 설명하기가 정말 어렵다. 나 같은 기술적인 사람조차도 모든 기기를 일일이 확인하며 위변조 여부를 검사하지는 않는다”고 덧붙였다. 이러한 의혹은 지난 금요일, 인도네시아, 말레이시아, 필리핀 등에서 공인 판매업체로 등록된 크립토빌리스(CryptoBilis)를 통해 판매된 레저 기기 관련 암호화폐 손실이 보고되면서 불거졌다. 레저는 토요일, 해당 기기 중 하나에 승인되지 않은 임플란트가 포함되어 있었음을 확인했다.

프랑스 하드월렛 제조사인 레저는 크립토빌리스를 통해 판매된 레저 지갑에 심어진 악성 임플란트가 사용자의 복구 구문(recovery phrase)을 탈취하여 셀룰러 네트워크를 통해 전송했다고 밝혔다. 이는 사용자의 암호화폐 자산이 직접적인 위험에 노출될 수 있음을 의미한다.

**더 많은 통제권이 반드시 신뢰 감소를 의미하는 것은 아니다**

하드월렛은 개인 키(private key)를 오프라인 상태로 유지하도록 설계되어, 소프트웨어 지갑을 표적으로 삼는 온라인 공격의 노출을 줄인다. 일부 하드월렛은 전 세계적인 인기를 얻었고, 이러한 광범위한 유통망은 공급망 위변조의 기회를 제공했다.

암호화폐 분석가 마티 그린스팬(Mati Greenspan)은 2013년부터 암호화폐 업계에 종사해왔음에도 불구하고 하드월렛을 사용해 본 적이 없다고 밝혔다. 그는 또 다른 신뢰 사슬을 추가하는 데 큰 가치를 느끼지 못한다고 말했다. 그는 “하드월렛을 구매할 때, 제조사에서 공급업체, 그리고 당신에게 도달하기 전에 기기를 다룬 사람에 이르기까지 완전히 새로운 신뢰 사슬이 형성된다”고 설명했다.

비트코인 보안 회사 카사(Casa)의 CEO인 닉 뉴먼(Nick Neuman)은 제3자에 대한 신뢰를 완전히 피하는 것은 불가능하다고 말했다. 그는 “항상 신뢰해야 하는 중개자가 존재한다”며, 사용자는 단일 제공업체에만 의존하기보다 여러 제공업체에 걸쳐 위험을 분산시켜야 한다고 조언했다.

**보안 검사로 모든 것을 걸러낼 수는 없다**

레저의 주요 경쟁사인 트레저(Trezor)는 자사 기기가 진위 확인 절차를 거치고 서명된 펌웨어만 수락한다고 밝혔지만, 이러한 보호 장치만으로는 물리적 위변조를 완전히 배제할 수는 없다고 인정했다. 트레저 대변인은 코인텔레그래프에 “포장 및 홀로그램 씰이 온전한지 확인하고 기기에 특이한 자국이 있는지 살펴볼 수도 있지만, 이러한 검사만으로는 변조되지 않았다고 보장할 수는 없다”고 말했다.

레저 기기에서 발견된 임플란트와 같은 문제는 스크린에서 정보를 캡처하는 방식 때문에 또 다른 어려움을 제기한다고 회사 측은 설명했다. 이는 단순히 펌웨어 무결성을 확인하는 것만으로는 탐지하기 어렵다는 것을 시사한다.

이번 사건은 하드월렛 사용자들이 잠재적인 위험에 어떻게 대비해야 하는지에 대한 근본적인 질문을 던진다. 사용자가 직접 기기의 물리적 무결성을 완벽하게 검증하는 것은 현실적으로 불가능에 가깝기 때문에, 하드월렛 제조사들은 더욱 강력한 보안 프로토콜과 투명한 공급망 관리 프로세스를 구축해야 할 필요성이 대두된다.

또한, 공인 판매업체 네트워크에 대한 철저한 감사 및 모니터링 시스템 강화, 그리고 유통 과정에서의 보안 강화 조치가 요구된다. 만약 이러한 공급망에서의 취약점이 지속된다면, 암호화폐 사용자들은 하드월렛이라는 ‘최종 보안 장치’에 대한 신뢰를 잃게 될 것이며, 이는 결국 암호화폐 생태계 전반의 신뢰도에도 부정적인 영향을 미칠 수 있다. 암호화폐 업계는 사용자의 자산을 안전하게 보호하기 위한 기술적, 제도적 노력을 지속해야 할 것이다.