비트코인 지갑 Sparrow, AI 코드 리뷰로 보안 강화 업데이트 출시
Decrypt2026년 8월 28일 06:361
프라이버시 중심의 비트코인 지갑 개발사인 Sparrow Wallet이 AI 기반 코드 검토를 통해 발견된 보안 취약점들을 개선한 버전 2.5.4를 출시했다고 개발자 크레이그 로우(Craig Raw)가 밝혔다. 이번 업데이트는 AI 기술이 상당 부분의 개선 작업에 기여했으며, 자금 유출과 같은 심각한 문제는 발견되지 않았으나 사용자들의 즉각적인 업데이트를 권고하고 나섰다.
로우 개발자에 따르면, 이번 AI 코드 검토는 최근 공개된 중국산 AI 모델과 대규모 코드베이스에서 잠재적 익스플로잇(exploit, 보안 취약점 공격)을 검색하는 새로운 기능의 등장에 자극받아 이루어졌다. 그는 구체적으로 어떤 AI 모델이 Sparrow의 코드를 검토했는지 명시하지는 않았다. 이러한 움직임은 지난 7월 발생했던 Coldcard 지갑의 시드(seed) 생성 코드 취약점 공격 사건 이후 비트코인 생태계 전반에서 보안에 대한 경각심이 높아진 가운데 나왔다.
당시 Coldcard 지갑에서는 물리적인 장치에 접근하지 않고도 공격자가 개인 키를 복구할 수 있는 치명적인 취약점이 발견되었으며, Coldcard 제조사인 Coinkite는 이 취약점 발견에 AI가 도움을 주었을 가능성을 제기한 바 있다. 로우 개발자는 “Coldcard 사건은 비트코인 생태계 내에서 상당한 활동을 촉발시켰지만, 실제로 대규모 코드베이스에서 잠재적인 익스플로잇을 검색할 수 있는 기능이 갑자기 등장한 것이 결정적이었다”고 설명했다. 그는 이번 Sparrow 업데이트에서 AI 검토를 통해 개선된 사항이 “대부분”에 해당한다고 언급하며, 이번 릴리스 작업의 상당 부분을 AI가 담당했음을 시사했다.
2020년에 출시된 Sparrow Wallet은 사용자 프라이버시와 보안 강화를 위한 다양한 기능을 제공한다. 여기에는 어떤 비트코인 자금을 사용할지 직접 선택할 수 있는 코인 컨트롤(coin control) 기능, 사용자의 IP 주소를 숨기는 데 도움을 주는 Tor(The Onion Router) 네트워크 지원, 그리고 개인 키를 오프라인 상태로 안전하게 보관할 수 있는 하드웨어 지갑 및 에어갭(air-gapped) 서명 지원 등이 포함된다.
Sparrow의 공식 변경 로그에는 외부 서비스에 대한 신뢰도를 낮추기 위한 수십 가지의 보안 변경 사항이 명시되어 있다. 업데이트된 지갑은 이제 비트코인 지갑에 블록체인 데이터를 제공하는 Electrum 서버에서 반환된 트랜잭션이 실제로 요청된 트랜잭션인지 확인한다. 또한, 트랜잭션이 비트코인 블록에 기록되었음을 증명하는 암호학적 증거를 확인하고, 트랜잭션이 확인되었다고 표시하기 전에 체인상의 최신 블록을 검증하는 기능도 강화되었다.
이번 2.5.4 버전은 BitBox02 하드웨어 지갑의 보안도 강화했다. 이를 위해 펌웨어 버전 9.4.0 이상 및 안티-클렙토(anti-klepto) 보호 기능이 필수적으로 요구된다. 안티-클렙토 보호는 손상된 장치가 트랜잭션 서명 중에 개인 키 정보를 비밀리에 유출하는 것을 방지하는 데 도움을 준다.
그 외에도 이번 업데이트는 Ledger, Trezor, Keycard와 같은 다른 하드웨어 지갑 장치와의 호환성, 다중 서명(multisignature) 지갑, 페이조인(Payjoin) 기능, 지갑 가져오기(wallet import), 부분 서명된 비트코인 트랜잭션(Partially Signed Bitcoin Transactions, PSBT) 처리 등 다양한 영역에서 변경 사항이 적용되었다. 또한, 디버그 로그에서 비트코인 코어(Bitcoin Core) 자격 증명 및 기타 민감한 정보를 삭제하고, 지갑 및 백업 디렉토리에 대한 접근을 제한하며, Tor 사용 시 로컬 DNS 유출을 차단하는 보안 강화 조치도 포함되었다.
로우 개발자는 이러한 다수의 변경 사항이 사용자 자금이 즉각적인 위험에 처했음을 의미하는 것은 아니라고 강조했다. 그는 “자금을 위험에 빠뜨릴 가능성이 있는 것은 아무것도 발견되지 않았다”고 말하며, 자신이 직접 각 문제점을 검토했다고 덧붙였다. 또한 “제기된 모든 문제는 저 자신과 여러 차례의 독립적인 AI 검토를 통해 신중하게 검토되었다”고 밝혔다. 로우 개발자는 현재까지 해당 취약점들이 실제로 악용된 증거나 Sparrow 사용자들에게 영향을 미친 사례는 발견하지 못했으며, 이러한 문제들이 심각하게 우려될 수준은 아니라고 판단하고 있다. 이는 AI 기술이 보안 검토에 효과적으로 활용될 수 있음을 보여주는 사례로, 앞으로도 이러한 AI 기반 보안 감사가 암호화폐 생태계의 안전성을 높이는 데 중요한 역할을 할 것으로 기대된다.