비트코인 지갑 제조사 BitBox "AI가 펌웨어 내 심각한 결함 발견"

요약

• BitBox는 내부 AI 감사를 통해 두 개의 심각한 취약점과 부트로더 문제를 발견한 후 Dixence 업데이트를 출시했습니다.
• 이를 악용하려면 성공적인 피싱 공격과 더불어 사용자가 변조된 기기의 잠금을 해제해야 했습니다.
• BitBox는 도난당한 사용자 자금은 없으며 월렛 시드는 결코 위험에 처하지 않았다고 밝혔습니다.

BitBox02의 제작사인 취리히 기반의 BitBox는 자체 엔지니어들이 암호화폐 월렛 펌웨어에서 두 개의 심각한 결함을 발견한 후 이번 주 Dixence 보안 업데이트를 출시했습니다.

회사는 해당 문제들을 직접 공개했으며, 악용된 증거는 없습니다. 하지만 최근 하드웨어 월렛 제조업체인 Coldcard의 취약점이 악용되어 1억 3,000만 달러 이상의 BTC가 도난당한 사건을 감안할 때, 이 소식 자체로 대부분의 Bitcoin 보유자들에게 경종을 울리기에 충분할 것입니다.

BitBox의 경우, 첫 번째 문제는 기기가 어떤 펌웨어를 수락할지 결정하는 코드인 부트로더에 있습니다. 7월의 Oeschinen 릴리스(v9.26.2)에서 배포된 수정 사항으로 대부분 해결되었으나, BitBox는 이제 원래의 문제가 처음 보고된 것보다 더 심각했다고 밝혔습니다. 피싱 사기를 벌여 사용자 속여 가짜 BitBoxApp을 설치하게 하고 기기 잠금을 해제하게 만든 공격자는 정품 BitBox02에 악성 펌웨어를 로드하고 코인을 탈취할 수 있었을 것입니다.

최신 모델인 BitBox02 Nova는 부트로더 버전 덕분에 노출된 적이 없습니다.

두 번째 심각한 버그는 월렛 설정 전의 BitBox Multi 에디션에 있는 메모리 손상 결함입니다. 적대적인 컴퓨터와 연결될 경우 임의 코드 실행이 가능하며, 역시 악성 펌웨어를 허용할 수 있습니다. Bitcoin-only 에디션에는 해당 코드가 포함되어 있지 않으므로 안전합니다.

덜 위험한 세 번째 문제는 월렛의 사이런트 페이먼트(silent-payment) 기능과 관련이 있습니다. 코인을 직접 훔칠 수는 없지만, 랜섬웨어 방식처럼 자금을 잘못된 주소에 잠글 수 있었습니다. 세 가지 문제 모두 v9.26.5에서 수정되었습니다.

BitBox는 내부 검토 과정에서 최첨단 AI 모델을 활용했으며, 이는 회사가 AI 지원을 통한 펌웨어 감사에 대해 별도의 게시물에서 설명한 광범위한 추진 계획의 일환입니다.

보안을 중시하는 암호화폐 사용자들에게 오랫동안 이상적인 선택으로 여겨졌던 하드웨어 월렛이 완벽하지는 않다는 점을 다시 한번 일깨워 줍니다.