레저 CTO, 이더리움 앱 보안 수정 완료 밝혔다

레저(Ledger)가 이더리움(ETH) 앱의 일부 명문 서명 절차에서 제기된 보안 결함 논란에 대해 수정이 이미 끝났다는 입장을 다시 밝혔다. 이용자가 레저 기기 펌웨어와 앱을 최신 상태로 유지하면 관련 보안 수정이 적용된다는 설명이다.

샤를 기유메(Charles Guillemet) 레저 최고기술책임자(CTO)는 X 게시물에서 “문제가 공개되기 전 이미 수정했다”는 취지로 밝혔다. 그는 레저 이더리움 앱에 일부 클리어 사이닝(Clear Signing) 흐름과 관련한 버그가 있었지만, 레저 보안 연구 조직 레저 돈전(Ledger Donjon)이 AI 기반 취약점 연구 도구로 이를 발견했고 약 2주 전 수정과 배포를 마쳤다고 설명했다.

명문 서명은 이용자가 블록체인 거래를 승인하기 전 주소, 금액, 계약 호출 내용 등을 사람이 읽을 수 있는 형태로 기기 화면에서 확인하는 절차다. 하드웨어 지갑은 외부 웹사이트나 소프트웨어 화면보다 기기 자체 화면에 표시된 내용을 최종 확인 수단으로 삼기 때문에, 화면 표시와 실제 서명 대상의 일치 여부가 핵심이다.

레저 이더리움 앱 저장소의 변경 기록에는 8월 12일 배포된 1.22.2 버전에 ‘보안 문제’ 수정이 포함됐다고 기재돼 있다. 본지도 앞서 레저가 이더리움 앱 1.22.2에서 거래 검토 화면과 실제 서명 대상이 달라질 수 있다는 지적을 받은 보안 문제를 패치했다고 전했다.

이번 논란은 한 스마트컨트랙트 보안업체가 레저 이더리움 앱 취약점을 주장했다는 기유메 CTO의 공개 발언 이후 이어졌다. 기유메 CTO는 해당 주장이 레저를 겨냥한 공포·불확실성·의심(FUD)을 키웠다고 반박했다.

기유메 CTO는 문제 제기 이후에도 이용자가 최신 버전으로 업데이트하면 보호 조치를 적용받을 수 있다고 설명했다. 다만 레저가 공식 영향 범위로 확인한 내용과 외부 업체의 주장은 구분해 볼 필요가 있다.

기유메 CTO는 취약점 제기 자체보다 공개 방식에 문제를 제기했다. 그는 해당 업체가 레저의 수정이 끝난 뒤 버그바운티 프로그램에 연락했고, 책임 있는 공개 절차를 따르지 않았다고 말했다.

기유메 CTO는 해당 업체가 문제를 공개하면서 취약점이 아직 해결되지 않은 것처럼 암시했다고도 비판했다. 이는 실제 위험 여부와 별개로 보안 취약점 공개 과정에서 이용자 혼란과 악용 가능성을 줄이는 절차가 지켜졌는지를 둘러싼 논쟁이다.

보안업계에서 책임 있는 공개는 통상 취약점 보고, 재현 검증, 수정 배포, 공개 시점 조율로 이어진다. 특히 하드웨어 지갑처럼 개인키 보관과 거래 승인에 직접 닿는 제품은 공개 전 검증과 수정 배포 여부가 이용자 피해 가능성을 가르는 요소가 된다.

레저가 강조한 이용자 조치는 업데이트다. 기유메 CTO는 레저 기기 펌웨어, 레저 앱, 관련 소프트웨어를 최신 상태로 유지하면 최신 보안 수정과 연구 결과가 자동으로 적용된다고 밝혔다.

국내 이용자에게도 이번 사안은 단순한 해외 제조사 논란에 그치지 않는다. 하드웨어 지갑을 소프트웨어 지갑이나 탈중앙화앱과 함께 쓰는 경우, 최종 승인 화면의 신뢰성과 앱 업데이트 상태가 거래 안전성과 직접 맞닿아 있기 때문이다.

다만 레저가 공개 변경 기록에서 취약점의 세부 내용을 길게 설명하지 않은 점은 논란의 여지를 남겼다. 외부 보안업체는 레저 이더리움 앱 취약점을 주장했고, 레저는 해당 문제가 이미 수정됐다고 반박했다.

현재 확인된 공식 기록은 이더리움 앱 1.22.2의 보안 수정 기재와 기유메 CTO의 공개 발언이다. 이용자에게 남은 실질적 조치는 레저 기기 펌웨어와 이더리움 앱을 최신 버전으로 유지하는 것이다.