레저, 이더리움 앱 거래 서명 오류 패치…자산 보호 강화

하드웨어 지갑 제조사 레저(Ledger)가 사용자가 주의 깊게 검토하고 있는 이더리움 거래와 다른 내용을 서명할 수 있는 심각한 보안 취약점을 발견하고 이를 해결하기 위한 업데이트를 배포했다. 이번 업데이트는 사용자 자산 보호를 강화하는 중요한 조치로 평가된다.

**거래 검토 중 다른 내용 서명 가능했던 심각한 오류**

레저의 이더리움 애플리케이션 버전 1.22.2에 적용된 이번 패치는 악의적인 탈중앙화 애플리케이션(dApp)이나 다른 연결된 호스트가 사용자가 검토 중인 거래 내용을 임의로 변경하여 서명을 탈취할 수 있었던 보안 결함을 해결했다. 보안 회사 테스트머신(TestMachine)에 따르면, 공격자는 사용자가 디바이스에 표시된 거래 내역을 확인하고 승인(approve) 버튼을 누르는 순간, 메모리에 저장된 거래 데이터를 다른 내용으로 대체할 수 있었다. 이 경우, 디바이스 화면에는 원래의 거래 내용이 그대로 표시되지만, 실제로는 변경된 내용으로 서명이 이루어지는 치명적인 상황이 발생할 수 있었다.

테스트머신은 지난 8월 22일, 이러한 공격이 웹HID(WebHID) 접근 권한을 가진 dApp에서 발생할 수 있다고 밝혔다. 이들은 두 번째 서명 명령이 새로운 검토 창을 열지 않고도 기존 메모리의 거래를 대체할 수 있으며, 이로 인해 화면에는 원본 거래 정보가 표시된 채로 디바이스는 대체된 거래에 서명하게 된다고 설명했다. 이러한 공격 방식은 레저 플렉스(Ledger Flex) 모델에서 검증된 것으로 확인되었다.

**레저, 코드 수정으로 보안 강화**

레저의 공식 코드 변경 내역에 따르면, 새로운 서명 명령이 활성화된 검토 세션을 중단시키고 오류를 반환할 수 있었던 문제가 지적되었다. 또한, 승인 콜백(approval callback)이 앱이 예상된 서명 상태를 유지하고 있는지 확인하지 않고 서명을 진행했던 점도 문제점으로 꼽혔다. 이번 버전 1.22.2에서는 이러한 문제를 해결하기 위해 활성 검토 중 새로운 서명 세션이 시작되는 것을 차단하고, 승인 콜백이 앱의 상태와 일치하지 않을 경우 이를 거부하도록 수정되었다. 이러한 코드 수준의 변경은 해당 취약점의 진입 경로와 콜백 결함을 모두 해결하는 것을 목표로 한다.

테스트머신은 공유된 코드를 통해 이번 문제가 나노 X(Nano X), 나노 S 플러스(Nano S Plus), 스택스(Stax), 에이펙스(Apex) 등 레저의 다른 모델들에도 영향을 미칠 수 있다고 주장했다. 실제로 태그된 앱 매니페스트에는 해당 모델들이 플렉스와 함께 빌드 대상으로 명시되어 있다.

**업데이트 정보 및 권고 사항**

레저의 릴리스 비교는 버전 1.22.1부터 시작되며, 최초로 영향을 받은 앱 릴리스 시점은 아직 공개되지 않았다. 레저의 변경 로그에는 1.22.2 버전이 8월 12일로 명시되어 있으며, GitHub에는 8월 13일에 서명된 태그가 올라왔다. 테스트머신은 8월 22일 기준으로 아직 해당 패치가 배포되지 않았다고 밝혔다. 레저의 최고 기술 책임자(CTO)인 찰스 기욤(Charles Guillemet)은 8월 23일, 레저 돈존(Ledger Donjon)이 '특정 명확한 서명 흐름'에서 버그를 발견했으며 약 2주 전에 수정을 배포했다고 말했다. 테스트머신이 언급한 배포 시점과 레저 돈존의 발견 시점에 대한 약간의 차이가 있으나, 중요한 것은 보안 취약점이 해결되었다는 점이다.

기욤 CTO는 돈존이 테스트머신이 레저의 버그 바운티 프로그램에 연락하기 전에 버그를 발견했으며, 테스트머신은 자체적인 애지머스(Azimuth) 시스템으로 이 문제를 발견하고 레저와 공유 및 검증했다고 밝혔다. 레저 사용자는 반드시 이더리움 앱이 버전 1.22.2로 업데이트되었는지 확인해야 한다. 기욤 CTO는 또한 기기 펌웨어, 앱, 클라이언트 소프트웨어를 항상 최신 상태로 유지할 것을 권고했다. 현재까지 이 취약점을 악용한 실제 공격 사례나 자금 손실, 개인 키 유출 등의 피해는 보고된 바 없다. 이 문제는 슐리냐(Zilliqa) 레저 앱의 슈노르(Schnorr) 논스(nonce) 누출 문제와는 별개의 사안이다.

이번 취약점 발견 및 신속한 패치는 하드웨어 지갑의 중요성과 함께, 개발자들의 지속적인 보안 감사 및 사용자들의 업데이트 습관의 중요성을 다시 한번 강조하는 계기가 되었다. 암호화폐 시장의 성장과 함께 보안 위협 또한 고도화되고 있기에, 사용자들은 항상 최신 보안 정보를 주시하고 자산을 안전하게 보호하기 위한 노력을 기울여야 할 것이다.