자가수탁(Self Custody)의 어려움. 뭘 믿어야 할까?

암호화폐 장기투자자는 하드웨어 지갑을 이용한 Self Custody를 반드시 수행해야 한다는 개인적인  의견은  

9년 조금 넘는 제 암호화폐 생활동안 보아온 여러 사건을 통해 얻은 경험때문 입니다.  

"Not youe key, Not Your Coin"이라는 유명한 말 처럼.  수많은 초기 투자자들이 거래소나  앱을  하드웨어 지갑처럼 쓰다가 자산을 날리는 일이 시도때도 없이 일어났거든요.  

그런데  말그대로 Self Custody 또한 이에 대한 책임은 모두 본인이 져야 하기 때문에. 아무런 이해 없이 접근하면 그또한 위헝한 일 투성이죠.그래서 그냥 거래소에 보관하는게 맘편하다고 하시는 분들 많긴 하지만  전  거래소는 거래를 위한 곳이란 생각엔 아직 변함이 없습니다.  

18년말에  렛저 나노S  지갑을 사서 처음 하드웨어 월렛을 써보고 

홈 비트코인 노드를 만들어  내 트랜젝션은 내 노드를 통해 날리고   멤풀도 같이 돌리면서 트랜젝션 확인도 하고.. 

다른 여러지갑 구매해서 상호호환성도 확인하고.  제조사가 망할 경우를 대비해 전용 어플이외에 별도 어플을 통해 내가  완전히 제어할수 있는  환경을 구축하며 지내왔습니다.  

백업이 있다고 해도  단일지갑에 의한 장기운영은 한계를 느껴   2/3 멀티시그 지갑으로 갈아탔는데. 

이또한 익숙한 한 회사 제품으로 구성하다 보니 뭔가 찜찜함이 들어서  멀티벤더 하드웨어 월렛으로 구성된  멀티시그 지갑으로 갈아탔습니다   

그러고 나서  한달뒤  7월말  첫 사건이 터졌는데..  

"Not your Entropy, Not you Coin"이란 웃지못할 유행어를 남긴  콜드카드 지갑 해킹 사건..

사실 해킹이라기 보단.   지갑자체의 버그로 인해   시드키를 생성할때 128bit 또는 256bit의 엔트로피를 가진 랜덤 넘버가 사용되어야 하는데 70비트 내외의 엔트로피가 적용되어   해당방식으로 지갑이 생성된 유저들은 몽땅 지갑이 비워지는 사고를 겪었죠. 

- AI를 활용한 대규모 자산 탈취사건으로 불리우는데    암호화폐만 문제가 아니라 이제 여러 다방면서 공격이 있을거 같습니다. - 

그리고 얼마 후 일어난 트레저의 개인정보 유출사건 

트레저 제품의 배송을 담당한 Shipmonk는  배송후 90일이후  고객정보를 삭제한다는 계약이 있었음에도  수년간 해당 데이터를 유지하다가 털렸는데   지갑의 실제 배송주소가 유출됨에 따라  렌치공격을 이루어질수있다는 점에서 심각한 위협입니다. 

트레저를 사용하는 유럽권 유저들은 이후 경찰을 사칭한 전화를 꽤 많이 받고 있다고 하네요.. 

비트코인 라이트닝 네트워크는 CLN(코어라이트닝네트워크)에서 AI를 활용한 코드스크리닝에서 취약점이 다수  발견되어   수정중에  공격이 발생해  긴급 셧다운 / 패치가 이루어졌고. -  저한테  라이트닝 노드는  운영이 너무 어려워서 진즉 닫았어요. 

-블록스트림이 주도하는  비트코인 리퀴드 네트워크도 취약점이 발견되어  자칭 화이트해커에 의해 4000비트가 탈취된후 멈췄다가 해커와의  소통을 하던중 3400비트만 돌려받고 600비트는   해커가 수수료?로  먹었네요.  

그리고 며칠전  렛저의  공급망 공격 사건.. 

동남아시아의  렛저  리셀러인 크립토빌리스에서 판매된 제품에서  임플란트를 통한 시드유출로 추정되는 사건.

현재 밝혀진 바로는  렛저나노 X 제품에 셀룰러 통신칩을 포함한 별도의 장치가 삽입되어  니모닉 생성시  화면으로 보내는 데이터를 가로채 OCR을 수행한후  해당 니모닉을 셀룰러 칩을 통해  어디론가 전송한걸로 알려지고 있습니다. 

별도 보드를 위한 공간을 위해 기존에 들어있는 배터리 용량도 줄이는 등등의 시도를 한걸로 알려지고 있습니다.

그런데  렛저사의 기존 게시물을 보면  이런 공격을 이미 알고 있었을지도 모르겠네요.. 

https://support.ledger.com/article/4404382029329-zd?redirect=false

렛저는 점유율 1위의 업체라  가짜제품이 유통된다던지 하는 일들은 있어왔는데  이번 사건은 정품 인증 같은 보안장치를 전부 무력화 한거라..  유저들은 충격이 좀 큰가보네요..  -  OLED 화면으로  지나가는 화면 데이터를 수집해 OCR 처리후 내장된 셀룰러로 전송이라니..  제 기준 더 충격적인건 이런 장치들에 대한 보고서들이 이미 이전에 여러번 있었네요. 

https://grandideastudio.com/portfolio/security/ledger-hardware-implant/

시간이 좀 더 지나면 해당 사건에 대한 보고서가 나오겠지만..  크립토빌리스는  회사가 통째로 올해 3월 중국인 개인에게 팔렸는데  매수자가 비밀유지계약을 요구해 (26년 10월19일까지)  해당 내용을  알릴 수 없었다고 합니다.  렛저본사도 모르고 있었다고 하는데요.  재미난건  스파이장치가 심어진 렛저 지갑에 대한 공격은 10월9일 이루어졌습니다.  

네 맞습니다.  자가 수탁의 길은 쉽지 않습니다.     Trustless를  구현하려면 이 또한 노력이 필요하죠. 

최근 AI를 이용한 수많은 공격을 보고 있노라면 맘이 편하진 않습니다만 - 엇그제 깃헙도 털렸죠.. - 계속  관심 가지면서 지켜보다 보면 또 방법을 찾을수 있지 않을까 싶기도 합니다.  

HODL 하시는분들깨  조심스레   드리는 말씀  : 

내가 쓰는  장치에  위협이  발생하면 일단 침착하세요.. 급하게 움직이면 실수하게 됩니다.

장치나 앱 업데이트는  올라온 직후 말고  좀 기다려서 하세요.  

기회가 되시면 멀티벤더 멀티시그 지갑을 써보시길 추천해드려요 - 테스트넷에서 충분히 써보세요.. 

커피숍에서 땔램 학원 끝나기기다리던중  그냥 한번끄적여봤습니다.  

두서없는 글 죄송합니다.  시간이 벌써 다되서  ㅠ.ㅠ