Coldcard 해킹은 평판이 보안 모델이 아님을 증명한다

라이선스 압박이 그 재작성의 범위나 속도에 얼마나 영향을 미쳤는지는 아무도 측정할 수 없으며, 그 개편은 정당한 기술적 목표도 추구했습니다. 문서화된 사실은 더 좁으면서도 여전히 치명적입니다. 경쟁업체를 제한하기 위해 이루어진 라이선스 변경이 검증된 암호화 코드의 성급한 교체보다 앞서 일어났고, 그 교체본에 현재 지갑의 자금을 유출시키고 있는 결함이 포함되어 있었다는 점입니다. 자유 및 오픈 소스 소프트웨어 원칙은 정확히 보안이 특정 회사의 선택에 의존하지 않도록 하기 위해 존재합니다. 이러한 원칙에 인격적인 예외가 있을 수 없습니다.

Zach Herbert는 Foundation의 공동 창립자이자 CEO입니다.

연구원들은 들여다보지 않는 법을 배웠다

더 깊은 실패는 실제로 들여다본 사람들에게 일어난 일입니다. 2020년 8월, Shift Crypto와 Nunchuk의 연구원들은 Coldcard의 멀티시그 검증 결함을 공개했습니다. Coinkite는 버그를 인정하고 수정 사항을 배포했으며, NVK는 Citadel Dispatch 팟캐스트에서 이 공개를 동시에 규정했으며 "PR 테러리즘"이라 칭하고 CVE가 없는 연구원을 전문가로 간주할 수 있는지 의문을 제기했습니다. 2023년, WalletScrutiny 프로젝트가 이전 Coldcard 빌드의 재현 문제를 보고했을 때, 그 반응은 프로젝트가 무능하거나 악의적이라고 비난하며 소송 가능성을 시사했습니다. 이후 독립적인 후속 조사에서 이전 릴리스의 실제 재현 문제를 발견했고, 누구도 악의적으로 행동하지 않았다는 결론을 내렸습니다.

연구원에 대한 모든 공개적인 공격은 다음 연구원의 계산을 바꿉니다. 독립적인 검토는 느리고 어렵고 보통 무보수로 이루어집니다. 수개월간의 작업과 조롱, 블랙리스트, 법적 위협의 가능성을 저울질하는 연구원은 종종 자신의 시간을 다른 곳에 쓸 것입니다. 이 문화 때문에 엔트로피 버그가 발견되지 않고 지나갔다는 것을 누구도 증명할 수 없습니다. 자신 있게 말할 수 있는 점은 보안은 사람들이 기꺼이 들여다보려는 의지에 달려 있으며, Coldcard를 둘러싼 환경은 들여다보는 행위를 처벌했다는 것입니다.