타이코가 썼던 TEE인 Intel SGX의 경우 여기 올라와있는 키는 TEE가 "누가 서명했는지(즉 누구의 소유인지)"를 증명하는 MrSigner라는 해시를 만드는 서명키로, 타이코는 의도적으로 서명키(여기서의 개인키)를 공유해 누구의 TEE에서 돌건 상관없도록 일종의 편의성 업데이트를 해둔 것에 가깝습니다.
SGX의 유효성은 서명자 유효성(MrSigner) + 프로그램의 무결성(MrEnclave)을 통해 검증되기 때문에, 아무나 저 개인키를 가져다가 자신의 TEE를 등록해 악성 프로그램을 돌린다는 시나리오는 유효하지 않습니다.
물론 타이코는 앞서 MrSigner를 무효화했기 때문에 MrEnclave에 신뢰를 의존하게 되었는데, 문제는 타이코의 검증 메커니즘에서 TEE enclave의 속성을 확인하는 과정이 전혀 없었고, 이때문에 공격자가 메모리 보호 모드가 꺼버릴 수 있는 debug 모드로 빌드한 TEE의 등록을 허용했다는 것입니다.
공격자는 타이코가 실제로 쓰고있는 화이트리스트된 프루버를 가져와서 debug 모드로 빌드하고 정식 프루버로 등록합니다. debug 모드로 빌드했으니 타이코가 상태값 증명에 사용하는 서명키를 원본 그대로 추출할 수 있고, 조작된 상태값에 대해 서명한 뒤 제출하면 L2 상태값의 변조가 가능하다는 것이 현재 가장 유력한 시나리오입니다.
처음에 바이럴이 되었던 렛저 CTO의 설명이 약간 틀린 방향으로 서술되어 있었어서 다른 방향으로 공격 벡터가 알려진 것 같네요.