분석: 하드웨어 지갑 무게 측정으로 악성 부품 드러낼 수 있지만 안전성 입증은 못 해

보고된 도난액이 약 9,300만 달러에 달하는 변조 기기 스캔들과 관련해 가상자산 이용자들이 하드웨어 지갑의 무게를 재고 있다. 무게 확인으로 기기에 몰래 삽입된 부품을 찾아낼 수는 있지만, 기기에 문제가 없음을 입증할 수는 없다. 레저가 동남아시아 지역 공식 판매업체로 등록한 크립토빌리스를 통해 판매된 기기에서 숨겨진 부품을 확인한 뒤 무게 확인이 주목받았다. 레저는 자사 시스템은 여전히 침해되지 않았다고 밝혔다. 그러나 문제가 된 기기는 레저가 등록한 판매 경로를 통해 구매자에게 전달된 것으로 알려졌다.

무게 측정은 봉인된 기기를 건드리지 않아도 되기 때문에 소유자들에게 매력적이다. 제조업체들은 기준 무게를 공개하며, 소유자들은 이를 기기에서 측정한 무게와 비교한다. 레저는 나노 X의 무게를 34그램으로 제시한다. 트레저는 세이프 3의 무게를 14그램으로 제시한다. 회로 기판과 안테나, 셀룰러 모뎀을 추가하면 이론상 무게가 늘어나므로, 더 무거운 하드웨어 지갑은 의심스러워 보일 수 있다.

마운트곡스 전 CEO 마크 카펠레스는 말레이시아에서 구매한 봉인된 나노 X에서 그런 구성을 발견했다. 카펠레스는 숨겨진 스파이 칩이 화면에서 복구 문구를 읽은 뒤 셀룰러 연결을 통해 전송했다고 말했다. 삽입 부품이 기기의 기준 무게와 정확히 일치할 필요는 없었다. 카펠레스의 기기에서는 회로 기판이 화면 뒤에 놓였고, 더 짧은 배터리로 공간을 확보해 추가 무게를 줄였다. 카펠레스는 남은 무게 차이가 약 1그램이라고 밝혔다. 용량이 같은 배터리도 무게가 다를 수 있으므로, 카펠레스는 이 차이가 통상적인 제조 편차 범위에 든다고 말했다.

1그램 단위로 측정하는 주방 저울로는 그 정도 차이를 작은 삽입 부품의 무게와 구별할 수 없다. 정밀 마이크로 저울은 더 정확하지만 기준 무게로 보정한 경우에만 그렇다. 하드웨어 지갑의 회로 기판을 직접 확인하는 유일한 방법은 케이스를 여는 것이다. 주방 저울로 조잡한 삽입 부품은 찾아낼 수 있지만, 정교하게 설계된 부품은 찾아내지 못한다.

레저는 해당 판매업체를 통한 판매를 중단하고 최근 크립토빌리스에서 구매한 고객들에게 하드웨어 지갑 설정을 아예 건너뛰라고 권고했다. 하드웨어 지갑 공격이 소프트웨어에서 물리적 기기로 옮겨가는 가운데, 가정에서 하는 어떤 검사보다 제조업체에서 직접 구매하는 것이 더 중요할 수 있다.