렛저·콜드카드 보안 사고, 셀프커스터디 초보자 논쟁

본문

렛저 기기에서 복구 문구를 훔치는 부품이 발견됐고, 콜드카드 펌웨어 오류로 개인키가 재현돼 자금이 탈취됐다. 다중서명과 복구 문구 없는 지갑도 보안과 편의성 사이에서 각기 다른 부담을 안고 있다. 렛저 기기의 복구 문구 탈취와 콜드카드 펌웨어 오류가 잇따르면서 셀프커스터디를 초보자도 안전하게 이용할 수 있는지를 둘러싼 논쟁이 다시 불거졌다. 하드웨어 지갑은 개인키를 인터넷과 분리해 보관하지만, 최근 사례는 기기 유통 과정과 펌웨어도 보안 위험이 될 수 있음을 보여줬다. 렛저(Ledger)는 동남아시아 판매업자를 통해 유통된 일부 기기에 숨겨진 부품이 설치돼 초기 설정 중 복구 문구를 수집했다고 밝혔다. 코인텔레그래프는 콜드카드 펌웨어 오류로 공격자가 개인키를 재현해 자금을 탈취했다고 보도했다. 자산을 직접 통제할 권리는 모두에게 있어야 하지만, 셀프커스터디가 보안 절차를 혼자 모두 처리해야 한다는 뜻은 아니라는 주장이다.

다중서명 지갑은 거래를 승인할 때 여러 개인키의 서명을 요구한다.

한 키에 의존하는 위험을 줄이는 대신 서명자 조율과 키 백업, 복구, 거래 승인 절차가 늘어난다. 여러 서명자가 같은 조작된 화면에 속아 거래를 승인하면 다중서명도 악의적인 거래를 막지 못할 수 있다는 지적도 나왔다. 카드 보관에 성공하더라도 이용자가 악의적인 거래를 직접 승인할 위험은 남는다. 그는 개인키를 빼내지 않아도 이용자를 속여 지갑을 비우는 거래를 승인하게 만들 수 있다고 말했다.