레저 SDK, 거래·기기 데이터를 기본적으로 회사 서버에 전송

코드 검토 결과 레저의 소프트웨어 개발 키트(SDK)가 서명 정보와 거래 메타데이터를 레저 서버로 전송하는 것으로 드러났다. 개인정보 보호를 중시하는 이용자들은 화요일 지갑 앱이 레저 하드웨어 기기에 연결할 때 사용하는 기본 SDK에서 이 동작을 발견했다. 조사 결과가 소셜미디어에 퍼지자 개인정보 보호 옹호자들은 놀라움을 나타냈다.

컨텍스트 모듈 버전 1.16이 적용된 이후 기본적으로 정보 공유가 활성화됐으며, 이는 2026년 5월 또는 그 이전부터다. 5월 하순부터 상당한 양의 메타데이터가 레저 기기에서 레저 서버로 전송됐다. 앱과 사용자는 정보 공유를 거부해야 하지만, 압도적 다수는 그렇게 하지 않는다. 많은 사용자는 레저 지갑이 거래에 서명한 뒤 개인 정보를 레저와 공유하지 않고 블록체인 네트워크에 직접 거래를 전송한다고 잘못 믿어 왔다.

앰비어 개발자 칼로얀 코세프(슈퍼칼로라는 이름도 사용)는 어제 이 문제를 제기했다. 코세프는 레저 서버가 고객의 기기 모델과 소프트웨어 버전, 사용자가 결제하거나 조회한 블록체인 주소를 받았다고 말했다. 코세프는 특히 레저에서는 개인정보 보호가 기본 설정이어야 한다고 주장했다.

SDK 빌더는 기본적으로 레저 서버 엔드포인트를 선택하며, 이 동작에 대한 고지는 불충분했다. 이더리움 기반 서명기는 사용자가 블라인드 서명을 요청하는지와 관계없이 거래 서명 및 유형 데이터 서명 요청마다 보고서를 전송한다.

레저 개발자들은 3월 26일 최초 보고 코드를 커밋했다. 컨텍스트 모듈 버전 1.16.0은 4월에 해당 코드를 실제 패키지에 포함했고, 4월과 5월에 사용자들에게 배포됐다. 초기 버전은 공유 데이터를 레저의 스테이징 서버로 보냈다. 버전 2.1.0에서는 전송 대상이 프로덕션 서버로 바뀌었다.

레저의 내부 보안팀인 레저 돈존(Ledger Donjon)은 화요일 데이터 전송이 클리어 서명의 일부라고 밝혔다. 돈존은 클리어 서명 설명자가 원시 거래를 읽을 수 있는 텍스트로 변환하지만, 기기에 담기에는 너무 크다고 말했다. 돈존은 성능을 높이기 위해 SDK가 레저 서버에서 설명자를 가져온다고 밝혔다. 돈존은 적절한 설명자를 찾으려면 관련 거래 세부 정보를 전송해야 한다고 말했다. 레저 보안팀은 레저가 데이터를 전혀 보관하지 않는다고 밝혔다. 보안팀은 지갑이 자체 모듈을 사용해 기본 정보 공유를 피할 수 있다고 말했다.

2023년 레저를 떠난 공동 창업자 니콜라 바카는 비트코인 애호가 미스터 호들에게 기본 설정을 간과했을 수 있다고 말했다. 미스터 호들은 아무도 정보 공유에 동의하지 않았는데 왜 사용자가 수신 거부를 해야 하는지 물었다. 바카는 이유를 모른다고 말했다.

레저의 지갑 앱은 레저 인프라를 통해 다른 정보도 전송한다. 앱의 비트코인 모듈은 레저 익스플로러에서 계정 내역과 수수료율을 가져오고, 해당 익스플로러를 통해 거래를 전송한다. 앱은 주소별로 익스플로러를 따로 조회하고 서명된 모든 거래를 익스플로러의 전송 엔드포인트에 제출한다.

2023년 보도에 따르면 레저 라이브는 분석 업체 세그먼트에 클릭, 계정 수, 암호화 자산 이름, 기기 유형 및 펌웨어 정보를 보냈다. 레저는 현재 개인화 추적기를 사용하려면 이용자의 동의가 필요하다고 밝혔다. 2020년 별도의 데이터 유출로 레저 고객 약 272,000명의 이름과 주소, 전화번호가 노출됐다. 지난달에는 말레이시아에서 겉보기에는 공식 판매처였지만 신뢰할 수 없는 레저 리셀러가 판매한 기기에서 스파이웨어가 작동해 피해자들로부터 8,600만 달러 넘는 금액을 탈취했다.