오픈 소스 블록체인 지갑의 실제 보안 혹은 유행어?

지난 달, 하드웨어 암호 지갑 제조업체 Ledger는 고객들이 시드 구문을 클라우드에 백업하고 현실 세계 신분증과 연동할 수 있는 “Ledger Recover” 프로그램을 발표했습니다.

이 발표는 암호화폐 커뮤니티로부터 강력한 반발을 일으켰는데, 많은 사람들이 이를 블록체인 보안의 이상과 10년 전부터 계속되어온 자신의 키를 보관하는 이상과 대립되는 것으로 보았습니다.

Ledger는 빠른 대응으로 고객들에게 시드 구문이 안전하다고 보장하고 Ledger Recover 프로그램이 선택 사항이라고 약속했습니다. 하지만 이 모든 사건은 오픈 소스 하드웨어 지갑에 대한 급증하는 수요를 불러일으켰는데, 이는 커뮤니티가 하드웨어나 소프트웨어 백도어를 제거할 수 있게 할 수 있을 것입니다.

딱 일주일 후, Ledger는 오픈 소스 로드맵을 가속화한다고 발표했습니다. 그러나 오픈 소스 하드웨어 지갑이란 무엇을 의미하는 걸까요? 이들은 어떤 이점을 가지고 있을까요? 그리고 중요한 것은, 닫힌 소스와 비교해서 실제로 더 안전한 것일까요?

• Syscoin 개발자가 비트코인 마이너로 보호된 이더리움 호환 레이어 2 네트워크를 출시했습니다.
• 카칭! 비트코인 캐시(BCH) 가격이 100% 이상 폭발적으로 상승했습니다 – 이것이 뒷받침하는 원동력은 무엇일까요?
• 비트코인 채굴자들, 매일 수익의 315%를 거래소로 보내며 높은 상호작용 기록

하드웨어 지갑이 아닌 것들

먼저, 하드웨어 지갑에 대한 오해를 해소하는 데 도움이 될 것입니다.

지갑은 암호화폐를 저장하지 않습니다.

많은 사람들이 하드웨어 지갑이 암호화폐를 저장하는 데 사용된다고 생각하지만, 실제로는 개인 키를 저장하는 데 사용됩니다. 모든 암호화폐는 블록체인에 존재하며, 개인 키는 토큰 소유를 증명합니다. 이것이 개인 키를 비공개로 유지하는 것이 중요한 이유입니다.

여분의 휴대폰은 하드웨어 지갑이 아닙니다.

하드웨어 지갑 제조는 복잡합니다 – 그리고 이는 이유가 있습니다. 사람들은 이 장치를 사용하여 수백만 달러의 디지털 자산을 안전하게 보호하며, 고객 자금의 안전을 보장하는 것은 성공적인 하드웨어 지갑 브랜드를 구축하고 유지하기 위해 중요합니다.

이러한 이유로, 다양한 하드웨어 지갑 구성 요소는 일반적으로 독점적이며, 장치를 구입하고 분해하지 않는 이상 구매나 검사할 수 없습니다. 일부 지갑은 이를 방지하기 위해 내부에 침입 방지 기능도 갖추고 있습니다. 휴대폰은 훨씬 접근 가능한 부품을 사용하기 때문에 공격자가 연구하고 파괴하는 것이 훨씬 쉽습니다.

하드웨어 지갑은 100% 안전하지 않습니다.

어떤 장치나 소프트웨어도 완전히 공격에 대한 면역을 갖추지 못합니다. 악성 스마트 계약과의 우연한 상호 작용은 파괴적일 수 있으며, 가장 안전한 지갑도 럭풀이나 피싱 공격으로부터 보호해주지는 못합니다. 하드웨어 지갑은 디지털 은행 금고가 아니며, 보안 공공 금고의 열쇠와 같은 역할을 합니다. 이들은 자산을 안전하게 저장하고 액세스하는 데 도움을 주는 도구이며, 사용자의 안전성에 따라 안전합니다.

오픈 소스 전환이 도움이 될까요?

지갑이 공개적으로 사용 가능한 소스 코드로 작성된다면 대규모 개별 감사를 통해 악의적인 사용자들이 자신들의 방식으로 작동하는 것을 방지할 수 있다는 주장이 있습니다. 그러나 하드웨어 지갑 제조에는 생각보다 더 많은 신뢰가 필요하며, 이는 제조업자에게만 해당하는 것은 아닙니다.

공급망의 다른 비즈니스는 자신들의 배후 문을 삽입할 수 있는 합당한 기회를 갖고 있으며, 이러한 장치는 복잡한 공급망을 갖고 있습니다. 대부분의 하드웨어 지갑 회사들은 계약 제조업체에 의존하며, 이들은 일반적으로 중국에서 시작되는 공급망에 의존합니다.

최근: 마이애미에서 개최된 2023년 비트코인 컨퍼런스는 ‘비트코인 위의 쉿코인’과 마주치다

오픈 소스 하드웨어 지갑의 또 다른 장점은 호환성의 증가와 개발에 대한 커뮤니티 참여의 촉진입니다. 그러나 코드를 공개적으로 사용 가능하게 만드는 것은 해커들이 취약점을 찾기 쉽게 만듭니다. 또한, 지갑이 공개적으로 사용 가능한 구성 요소로 제작되기 때문에 사기꾼들이 자금을 도용할 수 있는 가짜 지갑을 쉽게 만들 수 있습니다.

Ledger의 공동 창업자이자 혁신 연구소 부사장인 Nicolas Bacca는 Dubis에게 오픈 소스 하드웨어 지갑이 진품인지를 쉽게 확인할 수 있는 방법을 사용자에게 제공하는 것이 오픈 소스 하드웨어 지갑이 직면한 가장 큰 도전이라고 말했습니다. 대부분의 신뢰할 수 있는 제조업체는 웹사이트에서 장치 일련번호를 확인하여 정품임을 확인할 수 있게 해줍니다. 오픈 소스 하드웨어 지갑 공급망의 모든 비즈니스를 신뢰할 수 있을까요?

“오픈 소스 하드웨어 지갑은 대부분의 경우 닫힌 소스 구성 요소에 의존합니다,” Bacca는 말했습니다. “그 안전성을 알아내는 유일한 방법은 이를 파괴하고 역공학을 하는 것입니다.” 닫힌 소스 지갑에서는 이게 불가능합니다.

“지금까지 어떤 지갑도 입증된 백도어가 있는 펌웨어를 발표한 적이 없습니다. 펌웨어가 오픈되면 전 세계에서 검증됩니다. 닫힌 소스 지갑에서는 그런 일이 결코 일어나지 않습니다,” 하드웨어 지갑 회사 Cypherock의 공동 창업자이자 기술 책임자인 Vipul Saini는 Dubis에게 말했습니다.

그는 개인 키 생성 및 활용과 관련된 작업을 오픈 소스로 진행해야 한다고 믿습니다. 그는 “그곳에서 클렙토그래픽 공격과 예측 가능한 난수와 같은 주요한 배수구를 쉽게 설치할 수 있습니다.”라고 말했습니다.

2022년 4월, Ledger의 보안 팀에서 화이트 해커 한 명이, 바이낸스 소유의 오픈 소스 소프트웨어 지갑인 Trust Wallet의 시드 생성에 있는 백도어와 유사한 취약점을 발견했습니다. 대체 구매한 칩을 사용해서 공급망의 어떤 당사자든 부트로더를 불러오는 코드를 수정할 수 있습니다. 이는 고객이 정품 펌웨어가 탑재된 장치를 받는 것을 보장하는 중요한 부분입니다.

이는 코드 감사자들에게는 눈치채지 못할 것이며, 백도어는 장치에 코드가 로딩되는 동안 삽입될 수 있습니다.

“이러한 제한 때문에 오픈 소스 하드웨어 지갑에 대한 강력한 신뢰 체인을 구축하는 것은 불가능하며, 이는 사용자들의 분포와 안전한 사용에 큰 제약을 가합니다.” 그는 덧붙였습니다. “‘많은 눈’ 패러다임은 보안 코드에는 실제로 작동하지 않으며, 가장 좋은 예시는 Heartbleed OpenSSL 취약점입니다.”

오픈 소스 지갑은 미래인가요?

중앙 집중형 거래소들이 암호화폐 커뮤니티와의 신뢰 회복을 위해 노력하면서, 사람들은 이전보다도 하드웨어 지갑에 동전을 저장하도록 권장받고 있습니다. 오픈 소스 운동이 더 많은 주목을 받는다면, 기기가 조작되지 않았는지 확인하는 능력은 중요해지며, 중개인 없이는 이를 쉽게 할 수 없습니다.

하나의 해결책은 오픈 소스 하드웨어 지갑 제작 업체들이 Open Source Hardware Association (OSHWA) 기준을 준수하고 CERN의 오픈 하드웨어 라이선스를 획득하는 것입니다. 그러나 2008년 글로벌 금융위기와 같은 사례에서도 알 수 있듯이, 라이선스와 인증은 한계가 있습니다.

“OSHWA는 올바른 라벨을 제공하고 오픈 하드웨어를 정의하고 인증하는 데 도움을 줍니다.”라고 Bacca는 말했으며, 이는 공격에 대한 보안을 제공하지는 않지만, 수상한 마케팅 주장을 피하는 데 유용하다고 말했습니다. Bacca는 또한 소유권 코드가 혼합된 오픈 소스 코드베이스나 오픈 소스 라이선스가 없는 몇몇 기존 공급업체들을 언급했습니다.

최근: 보안, 교육 및 규제가 증가하는 암호화폐 사기를 완화하는 방법

불명확한 인센티브 구조부터 사전에 정의된 상황에서의 제한된 테스트까지, 인증 기관의 한계를 다루는 것이 중요합니다. 이 운동은 또한 “오픈 소스”라는 단어에 기반을 둔 회사들의 동시다발적인 참가를 야기할 수 있으며, 그들의 소유권 요소를 하위 수준의 인증 뒤에 숨기는 결과를 낳을 수 있습니다.

폐쇄 소스 제조업체들은 소유권 칩을 사용해서 확고한 신뢰 체인을 구축하지만, 순수한 오픈 소스 지갑은 무엇을 사용할까요? 시장의 현실은 보안 평가가 단순한 오픈 소스 vs. 폐쇄 소스의 이분법적인 개념보다 더 복잡하다는 것입니다.

결국, 소비자들은 가장 적은 수의 사람들을 믿어야 하는 가장 안전한 옵션을 원합니다.