콜드카드 해킹이 드러낸 '평판 보안 모델'의 함정

콜드카드 펌웨어의 엔트로피 결함을 악용한 공격자들이 709개 이상의 주소에서 약 1억1400만 달러 상당의 비트코인을 탈취했다. 공격의 첫 번째 물결은 단 25분 만에 약 500개의 지갑을 비워냈다. 결함의 핵심은 지갑 시드를 생성할 때 약속된 수준의 무작위성이 충분히 확보되지 않았다는 것으로, 문제의 코드는 2021년 3월 커밋에서 도입됐고 오픈소스 저장소에 공개된 채 5년 넘게 방치됐다. Foundation의 공동창업자 겸 CEO인 재크 허버트는 이번 사건이 단순한 기술적 실수 이상의 의미를 가진다고 주장한다. 그는 콜드카드의 라이선스 변경 이력에 주목한다. 2020년 경쟁사가 GPL 코드를 기반으로 기기를 개발한다고 발표하자, Coinkite CEO 로돌포 노박(NVK)은 GPL 선택을 후회한다는 트윗을 올렸다(이후 삭제). 같은 해 11월 콜드카드는 Commons Clause가 포함된 새 라이선스를 채택했고, 해당 라이선스의 공식 FAQ조차 '결과물은 더 이상 오픈소스가 아니다'라고 명시하고 있다. 대대적인 코드 재작성이 뒤따랐고, GPL 코드를 마지막으로 제거한 2021년 3월 커밋이 바로 시드 생성 기능을 망가뜨린 커밋과 동일하다. 허버트는 라이선스 압박이 재작성의 범위나 속도에 얼마나 영향을 미쳤는지 정확히 측정할 수는 없다고 인정하면서도, '검증된 암호화 코드를 경쟁 제한 목적의 라이선스 변경 이후 서둘러 교체했고, 그 교체본에 결함이 있었다'는 사실 자체는 명백하다고 강조한다. 자유·오픈소스 소프트웨어 원칙은 보안이 특정 기업의 선택에 의존하지 않도록 하기 위해 존재한다. 보안 연구자들을 향한 적대적 문화도 핵심 원인으로 지목된다. 2020년 8월 Shift Crypto와 Nunchuk 연구자들이 콜드카드의 멀티시그 검증 결함을 공개했을 때, NVK는 Citadel Dispatch 팟캐스트에서 이 공개를 'PR 테러리즘'으로 규정했다. 2023년 WalletScrutiny 프로젝트가 구버전 빌드 재현 문제를 보고했을 때도 무능·악의로 낙인찍고 소송을 거론했다. 이후 독립적 후속 조사는 구버전에 실제 재현 문제가 있었음을 확인했고 연구자들의 악의는 없었다고 결론지었다. 연구자들에 대한 공격은 다음 사람이 감수할 위험 계산을 바꿨고, 결과적으로 누군가가 버그를 먼저 발견할 기회를 줄였다. 허버트는 이 현상을 '인식론적 포획(epistemic capture)'이라고 부른다. 같은 주장이 같은 팟캐스트와 피드를 통해 반복되면서 독자적으로 검증된 사실처럼 느껴졌고, 커뮤니티는 점차 자신의 판단을 한 명의 권위자에게 외주화했다. BTC Sessions 진행자 벤 페린도 최근 라이브스트림에서 '오만한 행동을 용인한 것은 그 오만이 탁월한 제품 제작 능력과 함께 온다고 가정했기 때문'이라고 솔직히 인정했다. 허버트는 당장의 우선순위로 피해 사용자를 위한 마이그레이션 안내 배포를 꼽으면서, 취약한 버전에서 생성된 시드는 펌웨어 업데이트로 복구되지 않는다는 사실을 명확히 해야 한다고 강조한다. 나아가 과거의 검증 없는 추천 콘텐츠에는 정정이 필요하며, 공격받았던 연구자들에게 발언 기회를 줘야 한다고 촉구한다. 그는 글을 '검증하라, 벤더도 벤더의 비판자도 신뢰하지 말고 검증하라'는 말로 마무리한다.