개인키 조합 40억 가지로 붕괴…콜드카드 41분 만에 뚫렸다

비트코인(BTC) 하드웨어 지갑 콜드카드(Coldcard) 주소 1196개에서 41분 만에 1080개가 넘는 비트코인이 빠져나갔다. 7월 말 벌어진 이 공격에서 공격자는 기기 한 대도 물리적으로 만지지 않았다. 개인키를 만드는 첫 단계인 난수 발생이 처음부터 무너져 있었다는 분석이다.

이 공격의 손실은 7000만~8860만 달러(약 988억~1251억원)로 추산됐다. 털린 지갑 가운데 상당수는 수년간 금고에 오프라인으로 보관돼 있던 것들이다.

◇ 41분 만에 뚫린 오프라인 금고

블록(Block) 엔지니어링 팀은 발단이 2021년 3월 배포된 콜드카드 펌웨어 업데이트의 빌드 설정 오류라고 분석했다. 이 펌웨어는 시드가 되는 루트 난수를 만들 때 하드웨어 진성 난수 발생기(TRNG)를 건너뛰고, 기기 일련번호와 초기화 시간 레지스터에 의존하는 소프트웨어 의사 난수 발생기(PRNG)로 되돌아갔다는 것이다. 콜드카드 개발사 코인카이트(Coinkite)의 공식 입장과 대응 조치는 확인되지 않았다.

결과는 개인키 생성 공간의 붕괴였다. 원래 2의 256제곱에 이르러야 할 경우의 수가 2의 32제곱, 약 40억 가지로 쪼그라들었다. 공격자에게는 바다에서 바늘을 찾는 문제가 수십억 번의 단순 대입으로 바뀐 셈이다.

공격은 전부 오프라인에서 이뤄졌다. 40억 가지 니모닉 조합을 자체 연산 장비로 훑어 대응하는 공개주소를 파생하고, 이를 블록체인 원장과 대조해 잔액이 남아 있는 주소를 찾아냈다. 일치하는 주소가 나오면 곧바로 거래를 온체인에 방송해 오프라인 지갑의 자금을 한 번에 옮겼다.

피해는 첫 파상 공격 이후에도 계속 불어났다. 갤럭시리서치(Galaxy Research)는 세 번째 파상 공격이 이어지던 시점에 피해 지갑 4585개, 관측 손실 1367 BTC(8800만 달러·약 1232억원)를 집계했다. 4일 기준으로는 주소 7300개에서 비트코인 1596개가 빠져나간 것으로 파악됐다. 본지도 피해액이 1억200만 달러(약 1459억원) 규모로 불어났다고 전했다.

알렉스 손(Alex Thorn) 갤럭시리서치 총괄은 2021년 3월 17일 이후 나온 콜드카드 펌웨어를 쓰면서 주사위 난수로 시드를 보강하지 않고 패스프레이즈도 설정하지 않은 단일 서명 지갑이라면 즉시 다른 지갑으로 옮겨야 한다고 밝혔다. 손 총괄은 다른 출처에서 가져온 고엔트로피 시드를 쓰거나 충분한 양의 주사위 난수로 시드를 보강한 경우가 아니라면 콜드카드 생태계에서 완전히 벗어날 것을 권고했다. 펌웨어를 고쳐도 이미 좁은 범위에서 만들어진 시드 자체는 되돌릴 수 없다는 뜻이다.

난수는 암호학의 기초 단위다. 개인키는 니모닉에서 파생되고, 니모닉은 처음 만들어진 난수의 엔트로피에 전적으로 좌우된다. 소프트웨어 의사 난수는 결정론적 수식으로 계산되기 때문에 초기 시드나 변수를 알면 이후 값이 모두 예측된다. 반면 진성 난수 발생기는 회로 열잡음이나 원자 붕괴 같은 물리 현상에서 예측 불가능한 값을 뽑아낸다.

엔트로피 결함이 대형 탈취로 이어진 전례도 있다. 이더리움(ETH) 가상주소 생성 도구 프로파니티(Profanity)의 취약점으로 1억6000만 달러(약 2259억원) 손실이 발생했고, 채굴 풀 루비안(Lubian)은 약한 난수 알고리즘이 깨져 비트코인 12만7000여 개를 도난당했다. 약 150억 달러(약 21조1800억원) 규모다.

◇ 소비자용 콜드월렛과 기관용 HSM은 어디가 다른가

소비자용 하드웨어 지갑은 애초에 다른 위험을 막기 위해 만들어진 기기다. 레저(Ledger)·트레저(Trezor)·콜드카드 같은 제품의 주된 기능은 인터넷에 연결된 컴퓨터에서 악성코드가 개인키를 빼내는 것을 차단하는 데 있다. 대신 일반 이용자의 백업과 이전 편의를 위해 개인키와 12~24개 단어 니모닉을 내보내거나 종이에 적어둘 수 있게 설계됐다. 니모닉이 촬영되거나 옮겨 적힌 상태로 유출되면 공격자는 어느 기기에서든 같은 개인키를 복제할 수 있다.

기관용 하드웨어 보안모듈(HSM)은 접근 방식이 다르다. 오데일리(Odaily)에 8일 실린 기고문은 캑터스커스터디(Cactus Custody)가 세계 주요 금융기관과 중앙은행이 쓰는 탈레스(Thales) HSM을 기반 방어선으로 삼고 있다고 소개했다. 이 기고문은 기관용 수탁 서비스를 소개하는 업체 기고 형식으로 실렸다. 개인키는 칩 내부에서 생성된 뒤 '반출 불가'로 강제 표시돼 물리적으로 HSM의 보안 경계를 벗어날 수 없다는 설명이다.

서명 역시 HSM 내부 보안 영역에서만 이뤄지고 밖으로 나가는 것은 서명 결과뿐이라고 기고문은 설명했다. 물리적 분해나 마이크로 프로빙, 환경 이상을 이용한 공격이 감지되면 보호 회로가 즉시 작동해 내부에 저장된 키를 모두 지운다고 덧붙였다.

키를 만드는 방식에도 차이를 뒀다. 기고문은 캑터스커스터디가 다중서명 구조를 적용해 단일 개인키로는 콜드스토리지 자금을 움직일 수 없게 했고, 주소별 개인키를 HSM에 내장된 진성 난수 발생기로 각각 독립 생성한다고 설명했다. 마스터 시드에서 키를 파생하는 방식을 쓰지 않아 키끼리 수학적 연관이 없고, 이 구조가 'FIPS 140-2/3'과 'NIST SP 800-90' 표준을 충족한다는 것이다.

이번 사안은 업계 분석 대상에도 올랐다. 캔터(Cantor)와 FRNT가 콜드카드 보안 익스플로잇을 분석했다고 코인데스크(CoinDesk)는 전했다. 기고문은 "보안은 제품이 아니라 과정이다"라는 브루스 슈나이어(Bruce Schneier) 암호학자의 말을 인용하며, 블라인드 서명을 악용한 바이비트 15억 달러(약 2조1180억원) 탈취 사건에 이어 공격 수법이 오프라인 무차별 대입과 공급망 오염 쪽으로 옮겨가고 있다고 지적했다.

비트코인매거진(Bitcoin Magazine)은 4일 위협이 여전히 이어지고 있다며 이용자들에게 콜드카드의 공식 보안 지침을 가능한 한 빨리 확인하라고 권고했다.