Vultisig 모바일 지갑, 악성 서명 재시도 막는 수정 공개
제목 연관성·주요 수치·시장 영향·향후 전망을 기준으로 핵심 문장을 선별한 요약 브리핑입니다.
핵심 포인트
- Vultisig가 서명 오류 응답을 반복 관찰해 개인키를 복구하는 공격에 대응했다.
- iOS와 안드로이드 앱의 8월 변경 기록에는 악성 참여자가 감지되면 서명을 중단하는 수정이 담겼다.
- 가상자산 지갑 Vultisig가 서명 오류 응답을 반복 관찰해 개인키를 복구하는 공격에 대응했다.
본문
Vultisig가 서명 오류 응답을 반복 관찰해 개인키를 복구하는 공격에 대응했다. iOS와 안드로이드 앱의 8월 변경 기록에는 악성 참여자가 감지되면 서명을 중단하는 수정이 담겼다. 가상자산 지갑 Vultisig가 서명 오류 응답을 반복 관찰해 개인키를 복구하는 공격에 대응했다. 체인시큐리티(ChainSecurity)는 분석에서 공격자가 악성 메시지를 반복 전송하고 다른 기기의 오류 응답을 관찰하면 내부 시드를 추론해 키 조각과 전체 개인키를 복구할 수 있었다고 설명했다. 체인시큐리티가 살핀 대상은 Vultisig의 ECDSA 서명 구현이다. 라이브러리는 악성 참여자를 감지하는 치명적 오류가 나면 서명을 멈추고 시드를 교체해야 한다는 전제로 작동한다. Vultisig의 iOS v1.45.71 변경 기록에는 8월 21일 악성 참여자 차단 오류가 나면 재시도하지 않고 서명을 중단하도록 한 수정이 담겼다.
두 앱은 해당 오류를 다른 서명 실패와 구분하고 사용자에게 경고하도록 바뀌었다.
Vultisig 보안 문서는 사용 중인 DKLS23 프로토콜 라이브러리가 2024년 트레일오브비츠(Trail of Bits)의 감사를 받았다고 밝힌다. 체인시큐리티는 공개된 수정 코드를 검토하지 않았고 프로토콜의 다른 부분도 감사하지 않았다고 밝혔다. 이번 사례는 키를 여러 기기에 나눠 보관하는 구조뿐 아니라 앱이 치명적 오류 뒤 재시도를 막는 과정도 보안에 중요하다는 점을 보여준다. 공개 기록으로 확인되는 조치는 두 모바일 앱의 서명 중단 수정이다.