비트코인 지갑 펌웨어 치명적 오류 발견…AI가 잡았다

비트코인 하드웨어 지갑 제조사 비트박스(BitBox)가 자체 개발한 인공지능(AI) 감사 과정에서 펌웨어의 심각한 취약점 두 가지와 부트로더 문제를 발견했다고 밝혔다. 해당 취약점들은 사용자 계정 탈취(피싱) 공격과 악성 펌웨어가 설치된 기기 잠금 해제라는 복합적인 과정을 통해서만 악용될 수 있으며, 비트박스 측은 현재까지 사용자 자금 탈취 사례는 없으며 지갑 시드(seed) 또한 위험에 노출된 적이 없다고 강조했다.

이번에 발견된 취약점들은 지난 7월 배포된 Oeschinen 업데이트(v9.26.2)에서 일부 수정되었으나, 비트박스는 당시 보고되었던 문제보다 원래 심각성이 더 컸다고 설명했다. 첫 번째 문제는 기기가 어떤 펌웨어를 수락할지 결정하는 부트로더 코드에 존재한다. 공격자가 피싱 사기를 통해 사용자를 속여 가짜 BitBoxApp을 설치하게 하고 기기 잠금 해제를 유도한다면, 합법적인 BitBox02 지갑에 악성 펌웨어를 로드하여 사용자 자산을 탈취할 수 있었다는 것이다. 다만, 최신 모델인 BitBox02 Nova는 부트로더 버전 때문에 이 문제에 노출되지 않았다고 덧붙였다.

두 번째로 심각한 버그는 지갑이 설정되기 전의 Multi 에디션에서 발생한 메모리 손상 결함이다. 악성 컴퓨터와 연동될 경우 임의 코드 실행을 허용할 수 있으며, 이는 결국 악성 펌웨어 설치로 이어질 수 있다. 다행히 비트코인 전용 에디션은 해당 코드를 포함하고 있지 않아 이 문제로부터는 안전하다고 확인되었다. 세 번째 문제는 상대적으로 덜 위험하지만, 지갑의 '무음 결제(silent-payment)' 기능에 영향을 미쳤다. 이 문제는 직접적으로 코인을 탈취하지는 못했지만, 랜섬 공격처럼 잘못된 주소로 자금을 고정시킬 수 있는 가능성이 있었다. 이 세 가지 문제 모두 최신 버전인 v9.26.5에서 해결되었다.

비트박스는 이번 내부 감사에 최첨단 AI 모델을 활용했으며, 이는 AI를 활용한 펌웨어 감사 확대 노력의 일환이라고 밝혔다. 이 소식은 하드웨어 지갑이 암호화폐 사용자들에게 최고의 보안 선택지로 여겨져 왔음에도 불구하고 완벽하지 않다는 점을 다시 한번 상기시킨다. 최근 콜드카드(Coldcard) 하드웨어 지갑 제조사의 펌웨어 취약점 악용으로 약 1억 3천만 달러 상당의 비트코인이 탈취된 사건과, 세이프팔(SafePal)의 데이터 유출로 인한 사용자 개인 정보 노출 우려는 하드웨어 지갑 보안에 대한 불안감을 더욱 증폭시킨 바 있다.

하지만 비트박스는 이번 사안에 대해 사용자들이 업데이트 외에 다른 걱정을 할 필요는 없다고 강조했다. 비트박스의 공식 발표에 따르면, "사용자 자금 탈취 보고는 없으며 사용자들이 패닉할 이유는 전혀 없다"고 명시했다. 펌웨어 업데이트는 bitbox.swiss/download에서 확인할 수 있으며, 사용자가 직접 업데이트를 설치하기 전까지는 이전 버전의 펌웨어는 취약점에 노출된 상태로 유지된다.

이번 비트박스의 사례는 하드웨어 지갑 보안에 있어 AI의 역할이 점점 중요해지고 있음을 보여준다. AI는 기존의 테스트 방식으로는 발견하기 어려운 복잡하고 미묘한 취약점을 찾아내는 데 탁월한 능력을 발휘할 수 있다. 그러나 동시에, AI 기술의 발전이 해킹 기술의 발전으로 이어질 수 있다는 점 또한 간과할 수 없다. 암호화폐 생태계에서 보안은 끊임없는 진화의 과정이며, 사용자들은 최신 보안 업데이트를 꾸준히 적용하고, 의심스러운 링크나 파일은 절대 열지 않는 등 기본적인 보안 수칙을 철저히 지켜야 할 것이다.

비트코인 가격 역시 이러한 보안 이슈에 민감하게 반응할 수 있다. 대규모 보안 사고는 투자자들의 신뢰를 흔들어 가격 하락을 유발할 수 있지만, 반대로 제조사들이 선제적으로 문제를 해결하고 투명하게 공개한다면 오히려 장기적인 신뢰 구축에 도움이 될 수도 있다. 비트박스의 이번 발표는 후자의 경우로 이어질 가능성이 높다. 사용자들은 비트박스가 제공하는 업데이트를 신속히 적용함으로써 자신의 자산을 안전하게 보호하는 것이 무엇보다 중요하다.