레거와 트레조르의 90일간의 버그 수정 요청은 사실 신뢰 문제와 관련된 문제입니다.

레저와 트레조르는 세계에서 가장 큰 하드웨어 월렛 제조업체입니다. 이 두 회사는 보안 연구자들에게 그들의 연구 결과를 공개하기 전까지 최대 90일간 비공개해달라고 요청하고 있습니다. 이는 단순한 절차적인 요구처럼 보이지만, 실제로는 그렇지 않습니다. 이 두 회사에게 있어서 “당신의 키는 우리의 장치 안에 안전하게 보관되어 있다”는 말은 마케팅 문구가 아니라 제품 자체입니다. 그리고 누가 그 메시지를 통제하는지에 대한 갈등이 바로 현재의 경제적 문제가 되고 있습니다.

90일의 고요함

9월 7일, 레저의 최고 기술 책임자인 찰스 기엘메트는 “조정된 취약점 공개”를 산업 표준으로 하는 방안을 제안하는 서한을 발표했습니다. 이 모델에 따르면, 연구원이 취약점을 비밀리에 보고하고, 회사가 그 사실을 확인하며 수정 계획을 합의하는 것으로, 양측은 패치가 배포될 때까지 침묵을 유지합니다.90일을 기준 기간으로 합니다.그때서야 완전한 공개가 이루어집니다. 트레조르의 보안 책임자인 얀 코마렉은 이 제안을 지지했으며, 공정성 조항도 추가했습니다. 즉, 판매자가 합의된 기한을 지키지 못할 경우, 연구원은 어쨌든 그 내용을 발표할 권리가 있습니다. 비트코인에 집중하는 두 소규모 기업인 파운데이션과 애너웍스도 이에 동의했습니다. 이 모델은 익숙한 형태입니다. 보안 연구원들은 이 모델이…구글의 프로젝트 제로 공개 마감일을 맞추다.

이 편지는 레저 자신의 행동 변화라기보다는, 해당 산업이 이를 받아들이도록 하는 시도에 가깝습니다. 레저의 보상 프로그램은 수년 동안 공식적인 90일 협력적 공개 정책을 따르고 있으며, 연구원들에게 비트코인으로 보상을 제공합니다.의미 있는 인간 분석이 없는 AI로 생성된 보고서를 거부합니다.길메트가 진정으로 원하는 것은, 시장의 선도 기업들이 정해줄 수 있는 산업 전체의 표준입니다.

벌레 잡이로 인한 부작용들

이러한 움직임에는 즉각적인 원인이 있으며, 그 원인은 유익한 정보를 제공합니다. 8월 말에, AI 관련 보안 회사인 TestMachine은 “Ethereum 앱을 실행하는 모든 Ledger”가…거래 대체 공격에 취약함길메는 레저가 글이 게시되기 전에 그 문제를 발견하고 해결했다고 답했습니다. 경쟁사인 원키의 안젠 팀도 그렇다고 말했습니다.실험실에서 더 오래된 소프트웨어 버전을 대상으로 공격을 시뮬레이션했으며, 레저는 그 것을 거부했습니다.구버전의 빌드에 대한 테스트 결과입니다. 기욤은 이러한 조기 발표를 “다른 사람의 위험을 무릅쓰고 관심을 끄는 것."

이것은 특정한 분쟁이 아닙니다. 이는 자체 통제 보안 문제가 있는 지역에서 발생한 사건입니다.블록스트림의 리퀴드 사이드체인에서 약 4,000비트코인(약 3억 2천만 달러)이 유출된 것으로 알려져 있습니다.트레조르 배송 서비스 제공업체와 관련된 위반 사건이 발생했습니다.약 81,000명의 고객의 연락처 정보를 공개하는 것, 그리고100백만 달러가 넘는 Coldcard 도난 사건이 보고되었습니다.신뢰라는 전체적인 가치를 내포하는 카테고리의 경우, 모든 헤드라인은 혹은 안심을 주는 내용이거나, 투자자들이 급하게 자금을 인출하도록 만드는 이유가 됩니다. 그리고 사기꾼들은 이러한 공포심을 이용하는 데 매우 능숙합니다.

보안 관련 산업의 경제학

프로세스 언어를 제거하면 구조적인 변화가 발생한다. 기욤의 설명에 따르면, 인공지능은 보안 문제를 “더 많은 위협들이 있는 게임”으로 만들었다. 바로 이 때문에 기한이 중요해진다. 버그를 찾는 작업이 느리고 수작업적이었던 때에는 연구자들이 귀중하고 중요한 자원이었다. 하지만 인공지능 덕분에 버그를 찾고 그 버그를 활용하는 작업이 저렴하고 빠르게 되었다. 그 결과, 취약점이 발견된 순간부터 악용이 가능해지는 시간이 줄어든다. 이것이 바로 조기 발표가 위험한 이유이다. 안전성을 보장하는 사람들은 다른 사람이 며칠 만에 만들 수 있는 무기에 대응할 수 있는 방법을 찾아야 한다. 90일 규정은 판매자가 그 무기가 존재하기 전에 패치할 시간을 벌어주기 위한 것이다.

하지만 이 규칙은 중립적이지 않습니다. 가장 빠르게 해결할 수 있는 사람에게 유리합니다. 레저와 트레조르는 전담 보안팀을 운영하며, 일반적으로 기간 내에 제품을 제공합니다. 월급 대신 명성으로 보상을 받는 연구원은 먼저 공급업체에게 가치를 제출해야 하며, 그 과정을 신뢰해야 합니다. 이 모델은 연구자의 경력이 “가장 먼저 소리를 내는 것”에 의해 결정되는 관심 경제를 체계적인 프로세스로 변환시킵니다. 코마렉의 발표 조건은 거래가 정직하게 진행될 수 있도록 하는 장치이지만, 누가 더 강한 위치에 있는지는 변하지 않습니다.

안전성 주장이 하드웨어에 비해 얼마나 중요한지가 중요합니다. 전체 하드웨어 월렛 산업은…연간 5억에서 7.5억 달러 정도입니다.이는 사람들이 이러한 장치에 맡기는 동전의 가치와 관련된 오차일 뿐입니다. 지갑 제조업체는 판매 시에만 수익을 받으며, 보장된 자산에서 어떤 이익도 얻지 못합니다. 따라서 그들의 이익은 대부분 신뢰에 달려 있으며, 현재 그들의 비용에는 AI 기반의 지속적인 보안 경쟁도 포함됩니다. 그들의 힘은 상품화된 보안 칩이 아니라, 안전성에 대한 신뢰, 내부 보안 팀의 역량, 그리고 수백만 개의 장치에 보안 시스템을 적용할 수 있는 능력에 있습니다.

두 회사 모두 공개 시장에 상장되어 있지 않기 때문에, 어떤 주식 코드를 확인할 수는 없습니다. 투자자에게 제공되는 정보는 자체 보안 체계에 대한 더 명확한 정보입니다. Ledger와 Trezor는 자신의 운영 능력을 활용하여 신뢰성 있는 시스템을 구축하고 있습니다. 아마도 그들의 노력이 진심인 것 같습니다. 조직적인 공개 방식은 피싱 공격과 혼란을 줄여주며, 사용자를 보호합니다. 이와 같은 조치는 두 브랜드의 가장 가치 있는 자산을 가장 빠르게 증가하는 위협으로부터 보호하는 데에도 도움이 됩니다. 이 문제를 판단할 때 중요한 것은, 어느 회사가 이번 주에 어떤 버그를 발견했는지가 아닙니다. 중요한 것은, 인공지능이 모든 결함을 쉽게 찾을 수 있게 되면 사람들이 여전히 그 가격을 지불할 수 있는 수준에서, 어떤 하드웨어 제조업체가 “안전한”이라는 주장을 유지할 수 있는지입니다. 그리고 이 질문에 가장 잘 대답할 수 있는 두 회사는 바로 규칙을 만드는 회사들입니다.