Karpelès Lab, 추가 Ledger 기기에서 스파이 이식 칩 발견
TREE NEWS 보도: 전 Mt. Gox CEO이자 현재 Karpelès Lab을 이끄는 Mark Karpelès는 하드웨어 지갑 통신을 가로채기 위해 설계된 스파이 이식 칩이 추가 두 곳의 공인 판매업체에서 공급된 Ledger Flex와 Nano X에서 발견되었다고 밝혔다. Karpelès에 따르면, 이 이식 칩의 최신 버전은 대량 생산을 위해 설계된 것으로 보이며, 이는 변조 작업이 축소되는 것이 아니라 확대되고 있음을 시사한다.
Ledger는 반박하며, 독일 소매점에서 검사한 재고에는 변조 흔적이 없었다고 밝혔다. 상충되는 설명으로 인해 하드웨어 지갑 사용자들은 불편한 중간 지대에 놓이게 된다. 한쪽은 손상된 유닛을 발견하고 있고, 제조사는 검사한 재고가 깨끗하다고 주장한다.
이식 칩의 기능
하드웨어 지갑은 개인 키가 기기를 떠나지 않기 때문에 자기 보관의 금본위제로 홍보된다. 칩과 호스트 기기 사이에 위치하는 물리적 이식 칩은 시드 문구나 서명된 트랜잭션 데이터가 암호화되기 전에 캡처함으로써 그 약속을 훼손할 수 있다. 이러한 이식 칩이 대규모로 생산될 수 있다면, 위협 모델은 정교한 표적 공격에서 일반 소매 구매자에게 영향을 미치는 공급망 문제로 전환된다.
공급망이 약점인 이유
- 공인 판매업체는 제조사가 아니다. 기기는 사용자에게 도달하기 전에 유통업체, 창고, 소매 매장을 거치며, 변조가 발생할 수 있는 여러 지점을 만든다.
- 검증은 분절되어 있다. Ledger는 동반 앱을 통해 정품 확인 기능을 제공하지만, 사용자가 실제로 실행해야 하며, 손상된 호스트 기기가 이론적으로 간섭할 수 있다.
- 소비자 신뢰는 취약하다. 하드웨어 지갑 시장은 주로 물리적 보안의 약속으로 경쟁한다. 변조에 대한 새로운 보고가 나올 때마다 그 차별점이 약화된다.
업계 영향
Karpelès의 발견이 입증된다면, 하드웨어 지갑 업계는 초기 DeFi 익스플로잇 시대에 소프트웨어 지갑이 겪었던 것과 유사한 신뢰성 시험에 직면하게 된다. Trezor, Coldcard, 그리고 새로운 진입자들과 같은 경쟁자들은 더 강력한 변조 방지 포장과 오픈소스 펌웨어 검증을 갖춘 기기로 수요가 이동하는 것을 볼 수 있다. 한편 판매업체들은 사용자가 첫 사용 전에 검증할 수 있는 보관 연쇄 문서와 변조 봉인을 구현하라는 압력을 받을 수 있다.
규제 당국은 지금까지 소매 하드웨어 무결성보다 거래소 보관과 스테이블코인 준비금에 초점을 맞춰왔다. 대량 생산 이식 칩이 확인된다면 그 계산이 바뀔 수 있으며, EU와 미국에서 제품 안전 조사를 촉발할 가능성이 있다.
전망
핵심 질문은 Ledger의 깨끗한 독일 검사가 제한된 사건을 반영하는지, 아니면 품질 보증의 더 광범위한 사각지대를 반영하는지이다. 여러 지역에서 구매한 기기에 대한 독립적인 분해 조사가 이 분쟁을 해결하는 데 도움이 될 것이다. 그때까지 사용자는 가능하면 제조사에서 직접 구매하고, 첫 설정 시 기기 무결성을 검증하며, 사전 초기화된 지갑은 손상된 것으로 취급해야 한다. 업계에게 이 사건은 자기 보관 보안이 암호학뿐만 아니라 기기 자체의 물리적 여정에 달려 있다는 것을 상기시켜 준다.
