비트박스, 지갑 결함 두 건 확인…펌웨어 v9.26.5로 수정
비트박스(BitBox)가 자사 하드웨어 지갑에서 심각한 취약점 두 건을 발견해 펌웨어 업데이트로 수정했다.
비트코인 뉴스(Bitcoin News)는 18일 X(엑스, 옛 트위터)에서 비트박스가 취약점 두 건을 공개했다고 전했다. 비트박스는 해당 취약점이 실제로 악용됐거나 이용자 자금이 탈취된 사례는 현재까지 확인되지 않았다고 밝혔다. 문제로 지목된 사안은 모두 최신 펌웨어 v9.26.5에서 수정됐으며, 회사 측은 모든 이용자에게 즉시 업데이트할 것을 당부했다.
두 취약점은 내부 보안 감사 과정에서 드러났다. 하나는 'BitBox Multi' 기기에 영향을 미치는 결함으로, 악성 호스트 기기가 임의 코드를 실행하거나 아직 초기 설정을 마치지 않은 지갑에 악성 펌웨어를 설치할 수 있는 구조였다. 다른 하나는 '사일런트 페이먼츠(Silent Payments)' 기능과 관련된 결함이다. 사일런트 페이먼츠는 매 거래마다 새 주소를 받지 않고도 수신자의 프라이버시를 지킬 수 있게 해주는 비트코인(BTC) 송금 방식인데, 이 기능에서 발견된 취약점은 공격자가 악성 호스트 기기를 이용해 자금을 의도하지 않은 주소로 돌려보낼 수 있는 구조였다. 이 경우 비트코인이 잠겨 인출이 불가능해지고, 이를 빌미로 한 랜섬 요구로 이어질 가능성도 있다고 회사 측은 설명했다.
비트박스는 이번 공개와 함께 과거에 이미 수정을 마친 부트로더(bootloader) 취약점의 세부 내용도 새롭게 밝혔다. 부트로더는 기기가 켜질 때 정식 펌웨어인지를 확인해주는 역할을 하는데, 해당 취약점은 공격자가 이용자를 속여 자금을 빼돌릴 수 있는 악성 펌웨어를 설치하게 만들 수 있는 구조였다고 회사 측은 설명했다. 이 결함 역시 이전 업데이트에서 이미 조치가 이뤄졌으며, 이번에는 구체적인 작동 방식만 추가로 공개됐다.
하드웨어 지갑은 개인 키를 인터넷과 분리된 물리적 기기에 보관해 해킹 위험을 낮추는 방식으로, 대규모 자산을 장기 보관하는 이용자들이 주로 사용한다. 다만 기기와 연결되는 호스트 컴퓨터나 소프트웨어가 악성 상태일 경우 지갑 자체의 물리적 보안과 별개로 자금이 위협받을 수 있다는 점은 다른 사례에서도 반복적으로 지적돼 왔다. 앞서 비트코인(BTC) 하드웨어 지갑 비트키(Bitkey)도 모바일 앱의 신원 확인 절차에서 결함이 확인된 바 있고, 콜드카드(Coldcard)에서는 시드 생성 과정의 난수 결함이 뒤늦게 드러나 보안 논쟁으로 번지기도 했다. 비트박스는 이용자들에게 펌웨어를 v9.26.5로 업데이트할 것을 거듭 권고했다.
<저작권자 ⓒ TokenPost, 무단전재 및 재배포 금지>
많이 본 기사
