비트코인 레드팀, AI로 취약점 점검 넓혔다

비트코인(BTC) 오픈소스 생태계의 보안 점검 방식이 인공지능(AI)을 활용한 레드팀 실험으로 확대되고 있다. 하드웨어 지갑 콜드카드(Coldcard) Mk3 취약점 논란 이후 사람의 코드 검토에 AI 분석을 결합하는 방어 작업이 부각됐다.

갤럭시디지털($GLXY)은 13일 공개한 팟캐스트 ‘갤럭시 브레인스’에서 롭 해밀턴(Rob Hamilton) 앵커워치(AnchorWatch) 최고경영자(CEO)와 비트코인 레드팀 활동을 다뤘다. 논의의 초점은 콜드카드 취약점 이후 비트코인 생태계 주변의 취약점을 AI로 찾아내고 패치하는 작업이었다.

비트코인 레드팀은 자원봉사자들이 AI 도구와 사람의 검토를 병행해 비트코인 관련 오픈소스 저장소를 점검하는 조직이다. 본지는 앞서 비트코인 오픈소스 저장소 390곳 이상에서 심각 등급 취약점 85건과 고위험 취약점 635건이 확인됐다고 전했다. 당시 27.5시간 동안 제출된 발견 사항은 4,962건이었다.

논의의 출발점은 콜드카드 Mk3 보안 경고였다. 더블록(The Block)은 코인카이트(Coinkite)가 7월 30일 콜드카드 Mk3에서 생성된 시드와 관련해 이용자 자금이 위험할 수 있다고 경고했다고 보도했다. 더블록은 약 594.5 BTC가 500개 지갑 주소에서 빠져나갔다는 보고도 함께 전했다. 코인카이트는 Mk4, Q, Mk5는 초기 분석 기준 영향을 받지 않았다고 밝혔다.

콜드카드는 비트코인 전용 하드웨어 지갑이다. 제조사 코인카이트는 콜드카드가 개인키를 오프라인에 보관하고 인터넷에 노출하지 않은 상태에서 거래에 서명하도록 설계됐다고 설명한다. 이런 제품에서 시드 생성과 난수 품질 논란이 제기되면 이용자 신뢰와 자기보관 방식에 대한 점검 필요성이 커질 수 있다는 지적이 나온다.

해밀턴이 이끄는 작업은 AI 활용 논쟁과도 맞닿아 있다. 본지는 앞서 해밀턴이 오픈AI(OpenAI)의 코드 저장소 분석 제한을 이유로 중국 오픈소스 AI 모델을 다시 쓰겠다고 밝혔다. 당시 그는 “애국적인 미국인으로서 이렇게 해야 한다는 사실이 참담하지만, 비트코인 인프라를 보호하기 위한 연구에 중국 오픈소스 모델을 다시 쓰겠다”고 말했다.

오픈AI는 지난 2월 ‘사이버 분야 신뢰 기반 접근’ 정책을 공개하며 고위험 사이버 작업에 신원 확인과 신뢰 기반 접근 절차를 적용하겠다고 밝혔다. 오픈AI는 방어 목적의 취약점 발견과 악용 목적의 행위를 구분하기 어렵기 때문에 일부 보안 연구자가 완화 조치의 영향을 받을 수 있다고 설명했다. 동시에 사이버 방어를 위해 1,000만 달러(약 142억원)의 API 크레딧을 투입하겠다고 밝혔다.

쟁점은 AI 보안 도구의 접근권이다. 제한을 강화하면 악용 가능성을 낮출 수 있지만 방어 목적 연구도 지연될 수 있다. 제한을 풀면 취약점 발견 속도는 빨라질 수 있지만 같은 기능이 공격자에게도 쓰일 수 있다. 비트코인 레드팀 사례는 이 균형점이 아직 정리되지 않았다는 점을 보여준다.

갤럭시디지털은 해당 팟캐스트에서 비트코인 시장 전망도 함께 다뤘지만, 참가자와 회사가 BTC에 재무적 이해관계를 갖고 있다고 고지했다. 이번 사안은 가격 전망보다 비트코인 생태계의 보안 점검 방식과 AI 접근권 논쟁에 초점이 맞춰져 있다.