Ledger의 정품 확인은 통과했다. 이식물은 그 확인 대상 칩 바로 옆에 있었다

Ledger는 10월 9일 드러난 암호화폐 탈취 캠페인에 연루된 하드웨어 지갑 가운데 최소 한 대에 허가되지 않은 하드웨어 이식물이 들어 있었다고 확인했다. 그리고 지금까지 확인된 모든 사례가 같은 지점으로 수렴한다. 말레이시아와 인도네시아, 필리핀에서 영업하는 리셀러 CryptoBilis다. 온체인 조사자들은 Bitcoin, Ethereum, Tron에 걸쳐 300개가 넘는 지갑에서 8,600만 달러에서 9,300만 달러 상당이 빠져나간 것으로 추정한다. Ledger는 자체 피해 규모를 확인해 주지 않았고, 영향을 받은 기기 수에 대해서는 "제한적"이라고만 밝혔다.

10월 10일 회사의 입장은 짧고 분명했다.

피해를 입은 사용자 기기 중 한 대에 허가되지 않은 하드웨어 이식물이 들어 있었음을 Ledger는 확인할 수 있다.

이튿날 발표한 72시간 업데이트에서는 확인된 모든 사례가 CryptoBilis를 통해 판매된 기기와 관련돼 있으며, Ledger의 내부 시스템과 직판 채널은 영향을 받지 않았고, 해당 리셀러가 하드웨어 지갑 판매를 중단했다는 내용이 덧붙었다.

사용자에게 권해 온 확인 절차는 다른 질문에 답한다

하드웨어 지갑의 존재 이유는 비밀이 기기 밖으로 나가지 않는다는 한 가지에 있다. Ledger의 정품 확인(Genuine Check)은 개봉 시점에 그 약속을 검증하기 위한 장치다. 기기의 보안 요소(Secure Element)에게 자신이 진짜 Ledger 칩이며 Ledger 펌웨어를 실행 중임을 암호학적으로 증명하게 한다. 이 절차는 제대로 작동한다. 그리고 이번 사안에서는 핵심을 비껴간다.

Ledger는 원래의 보안 요소가 손상되지 않은 경우 정품 확인으로는 나중에 추가된 이식물을 탐지할 수 없다고 인정했다. 이 증명이 말해 주는 것은 칩이 진짜라는 사실뿐이며, 같은 케이스를 공유하는 다른 무언가에 대해서는 아무것도 말하지 않는다. 전 Mt. Gox 최고경영자 마르크 카르플레스는 말레이시아에서 변조된 기기를 구입해 내부에서 마이크로컨트롤러와 안테나, LTE 칩, eSIM을 올린 작은 추가 기판을 발견했다고 밝혔다. 칩 옆에 자리 잡은 채 화면과 버튼을 지켜보고, 자체 외부 통신 경로를 가진 관찰자인 셈이다. 이는 Ledger가 아니라 그의 주장이며, Ledger는 이식물의 동작 방식을 설명한 적이 없다. 그러나 문제의 형태는 세부 사항과 무관하다. 하나의 부품을 검증하는 증명은 애초에 설계에 포함되지 않았던 부품에 대해서는 아무것도 보증할 수 없다.

이 틈은 Ledger만의 실패가 아니다. 모든 기기 내부 무결성 검증이 공유하는 구조적 한계다. 증명을 수행하는 주체가, 공격자가 열어젖힌 바로 그 상자 안에 들어 있기 때문이다.

무너진 곳은 조언이 가리키던 바로 그 경로였다

하드웨어 지갑을 살 때의 표준 조언은 공식 채널을 쓰고 회색시장 판매자를 피하라는 것이다. CryptoBilis는 공식 리셀러였다. 조언은 침해 지점을 그대로 가리키고 있었던 셈이다.

Ledger의 대응은 이미 있던 규칙을 조이는 것이었다. 공식 리셀러에게 공식 채널을 통해서만 제품을 조달하고 "반품된 제품은 절대 다시 재고로 올리지 말 것"을 요구했다. 회사는 이번 일이 유통 및 변조 방지 절차를 "지속적으로 검토하고 강화해야 하는 이유를 보여 준다"고 밝혔다. 말로는 타당하지만 기대고 있기에는 부족하다. 유통망은 수백 개의 독립 사업자를 안에 품은 신뢰 경계이며, 고객에게는 그중 어느 하나도 감사할 방법이 없다. Binance 공동창업자 창펑 자오는 X에서 공격자들이 아예 리셀러를 사들였다고 주장했다. 검증되지 않은 주장이고 CryptoBilis는 답하지 않았지만, 현재 모델이 답을 갖고 있지 않은 유형의 공격을 짚고 있다.

범위의 문제도 있다. Bitquery는 추적한 피해 지갑의 열에 여덟 이상이 6월 이후에 처음 입금을 받았다는 사실을 확인했다. 이는 Ledger의 안내가 전제해 온 90일 구간 밖에도 영향을 받은 구매가 존재함을 시사한다.

영향을 받은 사용자가 해야 할 일

같은 기기에서 새 시드를 다시 생성하는 것은 해결책이 아니다. 그 기기가 첫 번째 복구 문구를 관찰할 수 있었다면 두 번째도 관찰할 수 있다.

이번 사안은 늘 따라오는 2차 파도도 불러왔다. Ledger 지원팀을 사칭하는 계정이 등장했고, 유럽 소매점에서 산 기기가 변조돼 있었다는 미확인 제보도 돌고 있다. 한 사용자는 분석을 위해 기기를 Ledger에 보내겠다고 밝혔다. Ledger는 유럽 건에 대해 언급하지 않았으며, 어느 것도 확인되지 않았다.

무엇을 의미하는가

공급망 변조는 보안 제품을 겨냥한 가장 오래된 공격이자 가장 막기 어려운 공격이다. 사용자의 검증 수단이 닿지 않는 지점으로 공격자를 옮겨 놓기 때문이다. 업계가 지금까지 내놓은 답은 첫 부팅 시점의 증명과 승인된 판매자 목록이었다. 이번 사건은 그 둘을 동시에 깨뜨렸다. 판매자는 승인돼 있었고, 증명은 통과했다. 기기가 내부의 칩 하나가 아니라 자신의 물리적 전체를 증명할 수 있게 되기 전까지, 정직한 조언은 상자에 적힌 것보다 좁다. 직접 구매할 것. 그리고 그 외의 경로는, 다른 사람의 말을 믿기로 스스로 결정한 기기로 취급할 것.

Sources: BleepingComputer · CoinDesk · Decrypt · Help Net Security