coinkite의 콜드카드 하드웨어 월렛이 개발자 버그로 인해 해당 지갑의 자산이 탈취되는 일이 발생했습니다.
하드웨어 월렛은 시드를 생성할때 시드의 안전성은 TRNG(난수발생기)의 성능에 영향을 받는데
해당 월렛은 TRNG를 탑재하고 있었음에도 개발자의 실수로 인해 해당 기능을 사용하지 않고
파이썬 코드로 만들어진 유사난수발생함수를 사용하여 시드가 생성되었고.
해당 지갑은 오픈소스였는데 이 문제를 발견한 해커에 의해 공격이 진행되어
현재 여러 지갑에서 500비트 정도의 자산이 탈취되었다고 합니다. (최대 약 1000비트의 자산이 영향권)
펌웨어를 업그레이드 하고 지갑을 재설정하는 단계를 진행해야 할것으로 보이며
여분의 지갑이 있는 경우 안전하게 새지갑을 생성한후 빠르게 자산을 옯기고
문제가 있는 지갑은 공식홈페이지를 참조해 업데이트를 하시기 바랍니다.
https://blog.coinkite.com/coldcard-mk3-seed-generation-warning/
최근에 다른회사 지갑 2개를 추가해서 이기종지갑 3개로 멀티시그 지갑을 만들어 쓰고 있는데
결국 이런 사단이 나네요.
펌웨어 4.0 버전부터 내장된 TRNG를 사용하지 않고 시리얼과 내부클럭을 XOR해서 시드 생성했다고 하는데
내부자 소행인지 단순한 실수인지.. 참.. 쉽지 않습니다.
제조사에서 문제를 시인했습니다만 해당 제조사는 규모가 매우 작은 회사라 피해자 보상이 가능할지 모르겠네요.
아마 파산으로 종결될거 같은...
그나저나 하드웨어 월렛구조를 공부하다보니 내장된 TRNG보다 개인적으로 TRNG를 구현해서 사용하고 싶어 이런저런 자료를 참고해 회로만들고 부품구하다 바빠서 그만뒀는데 하나 만들어봐야겠어요.
-사실 이렇게 만든 TRNG가 AIS-31 나 EAL5+ 인증받은 칩을 사용하는 전문회사 회사제품보다 나은 성능이 나올까? 에 대한 확신이 없어 관둔거긴 합니다.
이번 버그로 인해 콜드카드는 2의 40승정도로 엔트로피가 낮아져 일반컴퓨터로 공격이 가능했다고 합니다.
코인카이트는 경쟁사의 복제를 피하기 위해 4.0에서 오픈소스를 버리고 재사용 불가하도록 라이센스를 바꾸고 (코드는 타사에서 사용은 불가능하지만 내용은 오픈) 일부코드를 수정했는데요. - 트레저의 오픈소스를 일부 사용중이었는데 이부분을 다 버린듯 합니다. 이걸 다시 코딩하다가 이 사단이 났나봅니다.
귀차니즘에 3.x버전에서 업그레이드 하지 않은 사람들은 피해를 안보고 있다고..
이렇게까지 오픈소스를 버리고 코드를 다시 쓰게 만든 경쟁사가 어딘지 찾아보니 아래와 같은 히스토리가 있네요.
https://medium.com/@Fiach_dubh/rekt-crypto-hardware-con-artists-creep-into-bitcoin-8ad713198d3a
시아코인 개발자가 운영자중의 하나였던 시아코인 채굴기 ASIC 개발업체였던 오벨리스크는
제품배송지연, 성능문제, 보상 등등의 문제를 겪다가 FD란 새로운 회사를 차리며 갈아타기를 합니다.
- 시아코인 개발자 회사다 보니 코인을 포크해서 자사 ASIC만 채굴가능하도록 변경하는 쓰레기 짓까지..
파운데이션 디바이스 ( 이회사 위치는 오벨리스크 회사 길건너편 사무실) 란 회사는 암호화폐 하드웨어 회사였는데
첫번째 제품이 패스포트 라는 오픈소스 비트코인 하드웨어 월렛이었는데.. 이게 소프트웨어가 콜드카드를 그대로 복제한 수준이었나 봅니다.
재미난건 파운데이션에 투자를 한 투자회사의 자문자중 한명이 에릭보어히스 인데..
이사람은 하드웨어 월렛중 하나인 keepkey를 개발한 사람인데.
이 지갑은 오픈소스였던 트레저를 포크한 버전이라고 하네요..
이런 저런 지갑들 테스트하고 있고 keepkey도 써볼까 했었는데 히스토리 보다가 걸러야 하는 회사들을 알게되었네요..
암튼 셀프커스터디를 외치던 사람들은 FTX사태같은걸 이야기 하며 하드웨어 월렛을 써야 한다고 주장 했었는데.
이제 ETF나 거래소들은 콜드카드 사건을 한동안 언급하며 홍보 하겠네요..
현재 탈취자산은 1000비트를 넘어가나 봅니다. 대체 어떻게 마무리 될지..