트레저의 하드웨어 지갑에 사용된 TROPIC01 시큐어 엘리먼트 칩에서 취약점이 발견되었다고, 레저의 보안 부서가 감사를 통해 밝혔다. 인기 있는 콜드 스토리지 장치를 만드는 이 회사는 이 결함에도 불구하고 사용자 자금은 안전하다고 신속히 안심시켰다.
시큐어 엘리먼트의 결함
이 취약점은 트레저의 경쟁사인 레저의 내부 보안 연구팀인 레저 동종(Ledger Donjon)이 발견했다. TROPIC01 칩은 개인 키와 민감한 작업을 보호하도록 설계된 전용 보안 프로세서로, 이번 감사에서는 취약점이 원격으로 악용될 수 있는지 또는 물리적 접근이 필요한지 여부는 명시되지 않았지만, 트레저는 이 발견을 인정했다.
시큐어 엘리먼트는 하드웨어 지갑의 표준 구성 요소로, 변조 및 부채널 공격에 대한 추가 보호 계층을 제공한다. 이 구성 요소의 약점은 이론적으로 공격자가 키를 추출하거나 보안 검사를 우회할 수 있게 한다. 트레저는 결함의 정확한 성격에 대한 세부 사항을 공개하지 않고, 진행 중인 감사 과정을 언급했다.
트레저의 대응
공개 후 성명에서 트레저는 사용자 자금이 '안전하다'고 말했다. 회사는 리콜, 펌웨어 패치 또는 고객을 위한 즉각적인 조치를 발표하지 않았다. 이러한 안심은 취약점이 정상적인 조건에서 활성 지갑을 도난에 노출시키지 않거나, 공격이 실제로 충족하기 어려운 조건을 필요로 한다는 것을 시사한다.
트레저의 보안 접근 방식은 종종 투명성에 의존한다. 회사는 오픈 소스 펌웨어를 게시하고 과거에 제3자 감사를 요청한 바 있다. 그러나 수정에 대한 침묵은 몇 가지 질문을 남긴다. 다른 하드웨어 지갑 제조업체는 일반적으로 위험이 낮더라도 취약점이 보고된 후 곧 업데이트를 배포한다.
레저 동종의 역할
레저 동종은 경쟁 제품에서 결함을 찾는 실적을 보유하고 있다. 해당 팀은 이전에 트레저의 초기 모델(One 및 Model T)의 취약점을 공개한 바 있다. 이번 최신 발견은 이러한 패턴을 연장한다. 레저와 트레저는 콜드 스토리지를 원하는 암호화폐 사용자 시장에서 경쟁하므로, 이 감사에는 경쟁의 날카로움이 담겨 있다. 그럼에도 불구하고 공개 자체는 업계 관행을 따른다. 연구자들은 공개 전에 공급업체와 발견 사항을 공유하여 수정할 시간을 제공한다.
감사가 언제 시작되었는지 또는 뉴스 발표 전에 트레저가 대응할 시간이 얼마나 있었는지는 명확하지 않다. 공개 시점에 패치가 없다는 것은 취약점이 낮은 심각도로 간주되거나, 단순한 소프트웨어 업데이트보다는 하드웨어 개정이 필요하다는 것을 나타낼 수 있다.
사용자가 알아야 할 사항
현재로서 트레저의 메시지는 간단하다. 아무것도 하지 말라는 것이다. 회사는 자금이 위험에 처하지 않았다고 주장한다. 걱정되는 사용자는 강력한 패스프레이즈 사용, 펌웨어를 최신 상태로 유지, 공식 채널에서만 장치 구매 등의 기본 예방 조치를 취할 수 있다. 그러나 트레저는 특정 경고나 지침 변경을 발표하지 않았다.
이번 사건은 하드웨어 보안에서 계속되는 숨바꼭질 게임을 강조한다. 한때 뚫을 수 없는 것으로 여겨졌던 지갑은 화이트햇 연구자들에 의해 주기적으로 테스트되며, 제조업체는 그에 따라 대응한다. 진정한 시험은 향후 취약점이 이번보다 더 심각하게 나타날 때일 것이다.
