최근 비트코인 하드웨어 월렛 COLDCARD에서 시드 생성에 쓰이는 난수가 예측 가능해지는 문제가 발견됐습니다. 겉으로는 정상적인 24개 단어 시드가 만들어졌지만, 실제 후보군은 공격자가 탐색할 수 있을 정도로 좁아졌고 대규모 자금 탈취로 이어졌습니다.
COLDCARD도 펌웨어 공개, 재현 가능한 빌드, 서명된 업데이트, 보안 제보 채널 등을 운영해 왔습니다. 그런데도 실제 배포된 펌웨어의 난수 생성 경로에 문제가 있다는 사실을 오랫동안 잡아내지 못했습니다.
AI로 인해 공격자가 코드를 분석하고 취약점을 찾는 속도는 빠르게 증가하고 있습니다. 개발 속도와 코드 생산량도 함께 늘어나면서 보안 검토가 가장 큰 병목이 되고 있습니다. 공격자가 AI를 활용하는 만큼 제품 개발사 역시 AI를 방어에 적극적으로 활용해야 합니다.
최근 Zcash에서는 AI를 활용한 코드 분석을 통해 비공개 거래 영역인 Orchard에서 위조 ZEC를 무제한 발행할 수 있는 치명적인 취약점이 발견됐습니다. 사람이 오랫동안 놓친 복잡한 암호학적 로직도 전문 지식을 가진 보안 연구자와 AI가 함께 분석하면 새로운 관점에서 찾아낼 수 있다는 점을 보여준 사례입니다.
그런 면에서 우리가 자주 사용하는 브라우저 지갑을 선택할 때도 기능과 UI/UX보다 보안 프로세스를 먼저 봐야 합니다. 이 기준으로 보면 메타마스크는 여전히 가장 합리적인 브라우저 지갑 중 하나입니다.
메타마스크는 지난 10년 동안 가장 많은 공격자의 표적이 되면서도 대규모 환경에서 운영돼 왔습니다. 주요 기능과 권한 시스템에 대한 외부 감사, 상시 버그바운티, 전담 보안 조직, 실시간 위협 탐지 체계를 꾸준히 쌓아왔습니다.
최근에는 Consensys Diligence가 개발한 AI 감사 시스템 Chonky도 메타마스크 보안 감사에 활용하고 있습니다. Chonky는 10만 건 이상의 취약점 데이터를 바탕으로 잠재적인 공격 가설과 취약점 후보를 찾아내고, 인간 감사자가 실제 공격 가능성과 영향을 검증합니다.
브라우저 지갑에서 특히 중요한 공급망 공격에도 별도의 방어 체계를 갖추고 있습니다. 메타마스크는 LavaMoat를 통해 외부 라이브러리가 탈취되더라도 접근할 수 있는 권한과 행동 범위를 제한합니다.
물론 메타마스크가 보안적으로 완벽하다는 뜻은 아닙니다. 중요한 것은 문제가 전혀 없는 제품을 찾는 것이 아니라, 오랜 기간 공격을 받아왔고 그 과정에서 보안 체계를 꾸준히 축적해 온 제품을 고르는 것입니다.
크립토에서 가장 중요한 1순위는 결국 보안입니다. 특히 최근 지갑들이 브리지, 예측 시장, 선물 거래 등 다양한 기능을 직접 통합하면서 지갑의 공격 표면도 계속 넓어지고 있습니다. 소비자 역시 자신의 자산과 연결된 제품이 어떤 보안 프로세스를 갖추고 있는지 직접 확인해야 하는 시대가 왔습니다.