3자 펌웨어 보안 우려 41건, 채굴기 감사서 발견

비트코인(BTC) 채굴기 펌웨어 보안 감사에서 3자 소프트웨어 취약점 41건이 발견됐다. 쟁점은 채굴 장비 성능이 아니라 장비를 움직이는 펌웨어를 채굴자가 직접 검증할 수 있느냐다.

크립토브리핑(Crypto Briefing)은 256 Foundation이 비트메인(Bitmain) S19j Pro와 S21 순정 펌웨어, LuxOS, VNISH, Braiins OS를 대상으로 첫 펌웨어 보안 감사를 진행했다고 전했다. 비트메인 순정 펌웨어에서는 해시레이트 스키밍, 은밀한 통신 비컨, 악성 행위 징후가 발견되지 않았다고 보도했다.

반면 LuxOS, VNISH, Braiins OS 등 3자 펌웨어에서는 모두 41개의 보안 우려가 제기됐다. 예시로는 △기본 fleet 자격증명 미교체 △펌웨어 이미지에 포함된 SSH 키 △인증 없는 공장 API △암호 검증을 건너뛰는 업데이트 경로가 거론됐다.

감사 범위는 특정 모델과 특정 펌웨어에 한정됐다. 이번 결과를 모든 채굴기와 모든 펌웨어로 넓혀 해석하기는 어렵다.

256 Foundation은 비트코인 채굴 인프라를 오픈소스 구조로 바꾸겠다는 단체다. 이 단체는 펌웨어, 해시보드, 컨트롤보드, 풀 소프트웨어를 아우르는 '오픈소스 비트코인 채굴 스택'을 표방한다.

핵심은 채굴자가 장비 소프트웨어를 읽고, 검증하고, 수정할 수 있어야 한다는 주장이다. 폐쇄형 펌웨어에 의존하면 채굴자는 장비가 실제로 어떤 통신을 하고 어떤 업데이트 경로를 쓰는지 확인하기 어렵다는 문제의식이다.

이번 감사는 폐쇄형 펌웨어와 3자 펌웨어가 동시에 안고 있는 긴장을 보여준다. 순정 펌웨어는 제조사 의존도가 높고, 3자 펌웨어는 전력 제어, 오토튜닝, 풀 전환 같은 기능을 앞세운다.

다만 운영자가 내부 작동 방식을 충분히 검증하지 못하면 3자 펌웨어도 다른 형태의 리스크가 생긴다. 채굴장은 원격 관리와 대량 장비 운영이 일반적이어서 인증·업데이트·복구 절차의 허점이 곧 운영 중단으로 이어질 수 있다.

LuxOS는 공식 문서에서 SOC 2 Type 2 감사를 완료했다고 밝힌 이력을 강조한다. Braiins OS는 다운로드 이미지의 진위와 무결성을 확인하기 위해 공개키와 GPG 서명 검증 절차를 안내한다.

두 자료는 각 업체가 보안과 검증 절차를 제품 설명의 전면에 두고 있음을 보여준다. 다만 이 설명이 이번 감사 결과를 직접 반박하는 자료는 아니다.

커뮤니티에서는 펌웨어 설치와 복구 절차를 묻는 글도 확인된다. 비트코인토크(Bitcointalk)에는 S21 Amlogic 보드에서 LuxOS, Braiins, VNISH 설치가 막히는지, SSH 오류가 왜 나는지, SD 카드 복구가 가능한지 묻는 글이 올라왔다.

펌웨어 보안은 개발자만의 문제가 아니다. 채굴장 운영 중단, 장비 복구, 원격 관리 실패와 맞닿은 실무 문제다.

비트코인 보안 논의는 합의 규칙이나 네트워크 공격에만 머물지 않는다. 본지도 앞서 콜드카드 보안 이슈의 핵심이 비트코인 자체가 아니라 하드웨어 지갑의 시드 생성 구현 오류로 좁혀졌다고 보도했다.

256 Foundation의 Mujina 프로젝트도 이 지점에서 등장한다. Mujina는 비트코인 채굴 펌웨어의 리눅스 커널 프로젝트로 소개돼 있으며, 기존 상용 하드웨어와 새 오픈 하드웨어 설계를 함께 겨냥한다.

256 Foundation의 깃허브(GitHub) 조직 페이지에는 Mujina, Hydrapool, Libre Board 등 관련 프로젝트가 공개돼 있다. 포럼에도 Mujina Firmware 개발 회의와 오픈소스 펌웨어 논의, 하드웨어 지원 범위 관련 글이 올라와 있다.

크립토브리핑은 256 Foundation이 VNISH, Luxor, Braiins에 30일 시한의 coordinated disclosure를 보냈다고 전했다. 별도 공개 보고서와 개발사 공식 답변은 공개 검색에서 확인되지 않았다.