1억 1천 6백만 달러 콜드카드 해킹 사건이 지난주 비트코인 보유자들을 충격에 빠뜨렸습니다. 레저(Ledger) 보안 총책임자는 언론 헤드라인이 진짜 문제의 핵심을 놓쳤다고 말합니다.
블룸버그와의 인터뷰에서 레저의 최고 휴먼 에이전시 책임자인 이안 로저스(Ian Rogers)는 이번 공격이 셀프 커스터디 또는 하드웨어 월렛 자체가 본질적으로 위험하다는 증거가 아니라고 주장했습니다. 진짜 이슈는 인공지능이 약한 무작위성 기반 시스템에서 공격자들에게 어떤 행동을 할 수 있게 해주는지라고 강조했습니다.
레저가 영향을 받지 않은 이유
콜드카드 취약점은 2021년 펌웨어 버그로부터 비롯되었습니다. 시드 생성 과정이 디바이스의 하드웨어 칩이 아닌 소프트웨어 의사난수생성기를 거쳤기 때문입니다.
이로 인해 대략 40~72비트 수준의 엔트로피가 생성되었습니다. 이는 인공지능을 활용한 공격자가 체계적으로 탐색해 개인키를 찾기에 충분히 작은 주소 범위였습니다. TRM 랩스는 7월 30일 첫 41분간 1,082 BTC가 유출된 것을 추적했습니다.
로저스는 블룸버그에 레저는 엔트로피를 오직 하드웨어에서만 생성한다고 밝혔습니다. 레저는 소프트웨어 백업이 없는 인증된 보안 칩을 활용합니다. 그는 “67개의 0이 붙은 숫자 3”이라고 표현했습니다. 어느 공격자도 이를 무차별 대입할 수 없습니다.
이러한 유형의 결함을 레저가 잡아낸 것도 이번이 처음이 아닙니다. 2022년 레저는 트러스트월렛에서 유사한 버그를 발견해 책임감 있는 공개를 거쳐 이용자들이 안전하게 자금을 이동할 수 있도록 도왔습니다. 비인크립토가 보도한 콜드카드의 지속적인 도난 사태는 취약점이 알려진 뒤 얼마나 빠르고 체계적으로 공격이 이루어졌는지를 보여줍니다.
AI가 위협을 변화시킨 세 가지 방식
로저스는 세 가지 중첩된 위협 요소를 설명했습니다.
첫째, 인공지능은 공격자가 어떤 시스템이든 취약점을 더 빠르게 찾을 수 있는 힘을 제공합니다. 그는 미국의 수자원 인프라에 가해진 공격이 동일한 흐름의 일부라고 언급했습니다. 근본 도구가 범용적이기 때문입니다.
둘째, AI 지원 개발로 업계 전반에 코드가 훨씬 빠르게 배포되어 모두의 공격 표면이 넓어집니다. 비인크립토는 인공지능 기반 스마트계약 악용이 이를 탐지하는 툴보다 더 빠르게 확산되고 있다고 보도했습니다.
셋째, 로저스는 콜드카드 이야기를 넘어 기업들이 이메일이나 슬랙, 자격 증명 등 내부 비밀에 접근하는 에이전트(Agent)를 배치한다는 점을 짚었습니다. 블룸버그는 콜드카드 사고를 하드웨어의 문제로 다뤘습니다. 로저스는 이를 훨씬 광범위한 인공지능 시대의 보안 문제 신호라고 해석합니다.
로저스가 경고한 에이전트형 위협
지난해 말 로저스는 사람들이 AI 에이전트에게 비밀번호, 신용카드, 신원정보 등을 맡기는 미래를 위험하고 관리되지 않는 리스크로 묘사했습니다. 당시엔 이를 이해한 사람이 드물었습니다. 이제 그 위험이 현실이 되었습니다.
그는 인공지능 에이전트와 비밀의 관계를 10대 청소년과 자동차 키에 비유합니다. 자동차 키는 청소년의 방에 두지 않습니다. 부모는 상황에 따라 접근 허용 여부를 결정합니다. 월요일 등굣길 운전은 괜찮지만, 파티 후 금요일 밤에는 허용되지 않습니다. 로저스는 같은 논리가 모든 에이전트의 접근 권한에도 적용되어야 한다고 말합니다.
레저는 이미 에이전트가 개인키를 보유하지 않고도 월렛을 관리할 수 있도록 도와주는 툴을 제공합니다. 이는 하드웨어 보안을 정책이 아닌 설계로 지켜왔던 전통과 동일한 원칙에 따릅니다.
자산이 어디에 보관되어 있든, 이를 보호하는 보안 수준에 늘 관심을 가져야 합니다.
로저스가 블룸버그와의 인터뷰에서 말했습니다.
