BlueWallet CTO, 심각한 보안 위험으로 45개 iOS 암호화폐 지갑 지적
TREE NEWS 보도: BlueWallet의 최고기술책임자(CTO)가 App Store의 iOS 암호화폐 지갑에 대한 대대적인 보안 검토를 완료했으며, 그 결과는 되돌릴 수 없는 키를 소프트웨어에 맡기라고 사용자에게 요구하는 업계에 불편한 내용을 담고 있다. 이 감사는 비수탁형 지갑으로 표시된 904개 앱을 심사하고 그중 494개를 정밀 분석했으며, 최종적으로 45개를 심각 또는 고위험 보안 문제가 있는 것으로 지적했다. 23개는 잠재적으로 치명적이라고 표시되었고, 22개는 고위험으로 평가되었다.
위험 신호의 실체
확인된 문제들은 지갑 설계 실패의 여러 범주에 걸쳐 있다:
- 니모닉 문구나 개인 키가 기기 외부로 업로드된 것으로 의심됨
- 지갑 생성에 사용되는 취약한 난수 생성
- 키가 사용자 기기가 아닌 서버에 저장됨
- 앱에 하드코딩된 암호화 키
- 민감한 지갑 데이터에 접근할 수 있는, 런타임에 로드되는 서명되지 않은 JavaScript
이들 각각은 잠재적인 단일 실패 지점이다. 취약한 난수는 시드 문구를 예측 가능하게 만들 수 있다. 서버 측 키 저장은 비수탁형이라는 표시와 정면으로 모순된다. 하드코딩된 암호화 키는 모든 설치가 동일한 비밀을 공유한다는 뜻이다. 그리고 서명되지 않은 원격 JavaScript는 공격자에게 지갑의 가장 민감한 데이터로 통하는 실시간 채널을 제공한다.
CTO는 또한 이 분석에 위양성(false positive)이 포함되어 있을 수 있다고 경고했으며, App Store 승인과 앱의 인기가 보안의 증거가 아니라고 강조했다. 이 단서는 중요하다. 수백만 건의 다운로드를 기록한 지갑도 치명적 결함을 안고 있을 수 있으며, Apple의 심사 과정은 암호학적 감사가 아니다.
지갑 시장에 이것이 중요한 이유
자기수탁 지갑은 암호화폐로 향하는 정문이다. 더 많은 사용자가 자산을 온체인으로 옮기고 실물자산(RWA) 토큰화가 더 많은 가치를 지갑으로 밀어 넣으면서, 키가 침해될 때의 비용은 커진다. 지갑 앱에서 유출된 시드 문구는 복구 가능한 사건이 아니다——자금의 영구적 손실이다.
이 감사는 또한 구조적 문제를 부각한다. App Store는 유통 채널이지 보안 인증 기관이 아니다. 사용자는 독립적으로 검토된 지갑과 단순히 일반적인 앱 심사를 통과한 지갑을 구분할 쉬운 방법이 없다. 이러한 정보 비대칭은 악의적이거나 태만한 개발자에게 유리하게 작용한다.
앞으로의 전망
제3자 지갑 보안 등급, 재현 가능한 빌드, 오픈소스 검증이 표준 관행이 되도록 압력이 커질 것으로 예상된다. 하드웨어 지갑 제조사와 기존 소프트웨어 지갑은 감사 투명성을 차별화 요소로 내세울 수 있다. 사용자에게 실질적인 결론은 명확하다. 난수 소스를 확인하고, 키가 기기를 떠나는지 검증하며, 공개 코드와 독립적 검토가 있는 지갑을 선호하라. App Store 배지와 다운로드 수는 마케팅 신호일 뿐 보안 보장이 아니다.
