구글에서 선호하는 출처로 추가
레저 "탱젬 지갑, 레이저 공격에 비밀번호 우회 취약점"
김미래 기자
Ledger의 보안 연구팀 ‘레저 돈jon(Ledger Donjon)’이 탱젬(Tangem) 하드웨어 월렛에서 ‘레이저 펄스’로 비밀번호 검증을 우회할 수 있는 취약점을 발견했다고 밝혔다. 이번 결함은 원격 해킹이 아니라 카드 실물에 직접 접근해야 한다는 점에서 범위는 제한적이지만, 하드웨어 지갑 보안의 약점을 다시 드러냈다.
‘Laser Fault Injection’으로 검증 과정 교란
최근 공개된 보안 공지에 따르면 공격자는 탱젬 카드의 외부 케이스를 화학 용매나 정밀 도구로 제거해 내부 실리콘 칩을 노출시킨 뒤, 프로브로 전자기 변화를 읽어 비밀번호 처리 시점을 파악할 수 있다. 이후 문제의 순간에 레이저를 쏘는 방식으로 카드의 검증 절차를 교란해 지갑 접근 권한을 얻는 구조다. 레저는 이를 ‘Laser Fault Injection(LFI)’ 공격으로 설명했다.
당장 보고된 피해 사례는 없다. 탱젬 측과 연구진 모두 이 공격이 매우 드물다고 본다. 레이저 장비 가격만 약 25만달러에 달하고, 공격을 위해서는 반드시 카드 실물을 확보해야 하기 때문이다. 원거리에서 시도할 수 있는 방식도 아니다.
“국가급 자원 가진 공격자 가능성 높아”
레저 돈jon은 이 같은 공격이 주로 국가 지원 해커나 법집행기관, 자금력이 큰 범죄조직에 의해 이뤄질 가능성이 높다고 봤다. 피해자의 자산 규모를 충분히 파악한 뒤, 비용이 큰 물리적 침투를 감행할 수 있다는 설명이다. 아르쿨루스(Arculus)와 사이퍼록 X1(Cypherock X1) 같은 유사 제품은 아직 같은 취약점이 보고되지 않았지만, 칩 기반 카드가 본질적으로 LFI에 노출될 수 있다는 점은 동일하다.
이런 가운데 카드 분실이나 훼손이 발생한 이용자는 반드시 백업 카드를 활용해 자산을 옮겨야 한다. 탱젬 카드는 보통 3장 세트로 제공되는 만큼, 백업 수단을 미리 확보해 두는 것이 중요하다. 하드웨어 월렛의 장점이 ‘오프라인 보관’에 있는 만큼, 이번 사례는 물리 보안과 백업 관리가 결국 자산 보호의 핵심이라는 점을 보여준다.
댓글 0
불러오는 중…