Ledger 지갑에 백도어를 심는 자들은 누구인가?
Who Is Planting Backdoors in Ledger Crypto Wallets?
Ledger 지갑에 하드웨어 임플란트가 발견되어 약 1억 200만 달러의 암호화폐가 도난당했다. 처음에는 말레이시아의 공인 리셀러 CryptoBilis를 통해 판매된 일부 Nano X에서 발견되었으나, 이후 독일 MediaMarkt에서 구매한 지갑과 Ledger Flex, Stax에서도 임플란트가 확인되었다. 해커 Joe Grand가 올해 초 발견한 것보다 더 정교해진 이 임플란트는 복구 시드를 탈취해 LTE 모듈로 전송한다. 공인 리셀러까지 공격 대상이 되면서 공급망 전체의 신뢰가 흔들리고 있다.
“이는 단발성 사건이 아니라 유럽 전역의 MediaMarkt와 Saturn 매장에 있는 Ledger 재고에 영향을 미칠 수 있는 광범위한 문제임을 시사합니다.”
HN 토론
133- acstapleton
여기 이미지들을 보면, Ledger 팀이 보안에 전혀 신경을 쓰지 않은 것이 보인다. 그들은 의미 있는 보안 기능이 전혀 없는 MCU(코어텍스 M4 코어를 탑재한 ST MCU)를 사용하고 있다. 즉, 보안 부팅도 없고, 신뢰 모드와 사용자 모드 작동을 구분하지도 않는다. 이는 최신 코어텍스 M33 코어가 지원하고 최신 ST 부품이 구현하는 기능이다. 따라서 이 기기에서 실행되는 소프트웨어가 변조되지 않았다고 보장할 방법이 없다.
물리적 변조 감지 기능도 없다. 케이스 개방을 감지하는 탬퍼 패드도 없고, 열었을 때 깨져서 작동을 막는 봉인도 없다. 다른 사람들이 언급했듯이, 가장 기본적인 예방책은 전체를 접착제로 붙이는 것인데, 그것조차 하지 않았다.
Ledger에게 어떤 비밀을 보호하도록 맡기는 것은 매우 나쁜 생각이다.
- lxgr
하드웨어 보안 배경이 전혀 없어 보이는 많은 사람들이 이 공격에 대해 편안하게 전문가적 판단을 내리는 것을 보니 안타깝다. 그들은 공격 대상 플랫폼의 보안 모델(공개되어 있고 읽어볼 가치가 있다고 생각한다[1])을 살펴보지도 않았고, 공격 자체의 정교함도 고려하지 않은 것 같다.
Ledger의 실수는 장거리(이 경우에는 전 세계적인) 통신이 가능한 하드웨어를 기기 케이스의 작은 공간에 넣는 것이 불가능하다고 가정한 것뿐이었다. 나는 그들의 업계에 있지 않지만, 이번 주까지는 솔직히 나도 같은 추측을 했을 것이다.
[1] https://www.ledger.com/ledger-nano-x-bluetooth-security-mode...
- Trustable8
방금 Ledger를 하나 열어봤는데, 정말 어이없을 정도로 쉽다. 왜 손상 없이는 열 수 없도록 밀봉하고 접착제로 붙이지 않았을까? 또한 왜 전체 회로 기판을 접착제로 붙이지 않았을까? 기판 전체가 테스트 패드로 덮여 있어서 이상한 것을 납땜하기 매우 쉽다.
- thecybertracker
아주 기본적인 해시부터 시작하자. 기기 무게를 밀리그램 단위까지 측정하고, 무게가 맞지 않으면 변조된 것으로 간주하는 것이다.
- sorenjan
eSIM을 누가 샀는지, 데이터가 어디로 전송되는지, 그리고 도난당한 암호화폐가 전송되는 지갑을 누가 소유하는지 추적하는 것이 가능하지 않을까?
- tristor
하드웨어 보안 분야에서 일해본 사람으로서 이 기기들의 보안 부재는 충격적이다. 하지만 암호화폐와 관련된 모든 것이 그렇듯이 이것도 비전문가와 악의적인 행위자들이 벌이는 정교한 사기극이라는 점은 놀랍지 않다.
- ricardobeat
하드웨어 지갑이라는 개념 자체가 처음부터 잘못됐다고 생각했다.
돈을 보관하는 것만이 유일한 목적인, 그래서 명백한 표적이 되는 무작위 하드웨어를, 완전히 통제하는 범용 컴퓨터보다 왜 신뢰해야 하는가?
- tamimio
이런 공격이 쉽게 이루어지는 이유는 많은 사람들이 비닐 포장에 싸인 새 하드웨어가 안전하고 변조되지 않았다고 가정하기 때문이다. 주문한 후에 정보 기관이 하드웨어에 도청 장치를 심는다는 이야기가 많다. 특히 온라인 주문의 경우 그렇다. 아니, 그런 생각은 음모론이 아니다. 유럽을 포함한 곳에서 실제로 그렇게 하고 있다. 그러니 항상 기기를 지역 상점에서 무작위로 구매해서 즉시 가져오거나, 중고로 사는 것이 낫다. 더 좋은 것은 전자 지식이 있다면 직접 확인하는 것이다.