스파로우의 AI 보안 업데이트, 자신만의 비트코인을 소유하는 데 드는 비용을 공개합니다.

목요일에, 비트코인을 개인용 컴퓨터에 안전하게 저장할 수 있는 무료 프로그램인 스패로우 워렛의 개발자는 2.5.4 버전을 출시했습니다. 이는 일상적인 유지보수 업데이트로 보입니다. 작은 보안 문제들이 해결되었고, 검증 과정도 더욱 안정화되었으며, 하드웨어 워렛과 관련된 몇 가지 문제들도 해결되었습니다. 흥미로운 점은 이를 어떻게 만들었는지입니다. 개발자인 크레이그 로우가 그렇게 했습니다.그는 자신의 전체 코드베이스를 AI가 지원하는 보안 검토를 거쳤습니다., 그리고AI가 대부분의 수정 작업을 해냈습니다.판결은 안심할 수 있는 것이었습니다. 자금에 위험을 초래할 만한 것은 아무것도 발견되지 않았으며, 누군가가 이 문제를 악용했다는 증거도 없었습니다.

그 고요함은 이야기가 아닙니다. 진짜 이야기는 바로 그 원인이 되는 것이며, 비트코인 산업 전체가 지키려고 하는 약속을 지키는 데 드는 대가입니다.

그것을 강제로 만들어낸 사건

7월 말에, Coinkite가 만든 인기 있는 하드웨어 워렛인 Coldcard에 연결된 워렛들의 자금이 체인 상에서 사라지기 시작했습니다. 이 문제의 원인은 2021년 3월에 발생한 펌웨어 변경 사항 때문입니다. 그 변경 사항으로 인해 하드웨어의 무작위 번호 생성기가 소프트웨어 기반 생성기로 전환되었고, 그 결과 개인 키의 암호화 강도가 약해졌습니다.128비트에서 단 40비트로 줄여줌“기기에 영향을 주지 않고 강제적으로 접근할 수 있을 정도로 약한 상태였다. 블록체인 분석 회사인 TRM Labs의 보고에 따르면, 5,200개 이상의 주소에서 약 1,816비트코인(당시 약 1억 1천6백만 달러)이 네 번의 단계를 거쳐 소모되었으며, 이는 2026년에 발생한 가장 큰 하드웨어 월렛 공격 사건이었다.”코인키트는 영향을 받은 모든 모델에 고정된 펌웨어를 적용했습니다.노출 정도는 각 사용자의 시드가 어떻게 생성되었는지, 그리고 강력한 비밀번호가 그 시드를 보호하고 있는지에 달려 있다는 점을 고려해야 합니다.

여기서 중요한 것은 도난 행위 자체가 아니라, 그 방법이라는 점입니다. 코인키트는 인공지능이 공격자가 5년 이상 잠든 상태였던 결함을 찾는 데 도움을 준 것으로 보인다고 말했습니다.

Raw의 설명과 Coldcard 사건을 보면, Sparrow 2.5.4가 존재하는 이유가 분명해집니다. 그는 인공지능에 대한 검토가 무제한으로 사용할 수 있는 중국산 인공지능 모델들이 등장하고, 대규모 코드베이스를 검색하여 취약점을 찾는 기능이 생긴 것 때문이라고 말했습니다. 그는 인공지능이 제기한 모든 문제를 직접 확인했습니다. 다음은 그 내용입니다: 유료 하드웨어 제품에는 5년 전에 발생한 버그가 있었고, 그로 인해 9억 달러의 손실이 발생했습니다. 반면, 무료 소프트웨어의 경우, 몇 주 만에 기계가 자신이 배포한 모든 파일을 스캔하여 문제를 해결했습니다.

실제로 해결책이 하는 일은 무엇인가요?

수정 내용은 헤드라인보다 더 많은 정보를 제공합니다. 스파로우는 사용자의 자신의 비트코인 노드와 연결될 수 있지만, ‘라이트 클라이언트’ 역할도 합니다. 즉, 전체 블록체인을 다운로드하는 대신, 무료이고 공개된 엘렉트럼 서버를 이용하여 사용자의 자산과 거래 내역을 확인합니다. 이 업데이트의 가장 큰 목적은 그러한 서버에 얼마나 신뢰해야 하는지를 줄이는 것입니다. 스파로우는 엘렉트럼 서버가 보내는 거래가 정확히 요청된 거래인지 확인하고, 거래가 실제로 블록체인에 기록되었는지에 대한 암호학적 증명도 확인합니다. 또한 새로 받은 체인 데이터에 대한 작업 증명도 확인하며, 고정된 점검 지점에서 검증된 블록 헤더도 확인합니다. 다른 부분들도 마찬가지입니다.BitBox02 하드웨어 월렛은 이제 보안 기능이 활성화된 더 새로운 펌웨어가 필요합니다.개인키 유출을 방지하기 위한 조치입니다. 비트코인 코어의 자격증명 정보는 디버그 로그에서 숨겨져 있습니다. 지갑 파일들은 파일 소유자에게만 열려 있습니다. 토르를 통해 데이터가 전송될 때 발생하는 DNS 유출도 막아집니다. 또한 암호화된 메시지 검사도 일정한 시간 내에 이루어져서 타이밍 공격을 방지합니다.

그것이 바로 그 패턴입니다. 보안 경계를 정비하는 과정에서, 대부분의 노력은 낯선 사람들을 덜 신뢰하도록 하는 방향으로 쓰였습니다.

아래에 있는 게임

한 걸음 물러서면, 이러한 조치들이 어떻게 세상을 바꾸는지 볼 수 있습니다. 자가 관리 방식은 반대편의 당사자가 없는 옵션으로 판매됩니다. 즉, 당신의 열쇠와 동전만이 있으며, 은행은 당신과 자산 사이에 존재하지 않습니다. 하지만 워크레프트는 신뢰의 체인이며, 완전한 신뢰는 아닙니다. 여전히 소프트웨어와, 어떤 기기에서 작동하는 펌웨어, 네트워크상에서 무슨 일이 일어나는지를 알려주는 무료 서버들, 그리고 자신의 행동 습관에 대해 신뢰해야 합니다. 이러한 업데이트들은 “서버를 신뢰하라”는 원칙을 “서버를 확인하라”로 바꿔서 가장 약한 연결 고리를 줄입니다.

그런 다음, 그 비용을 누가 지불하는지 주목해보세요.스파로우는 무료이고 오픈소스 소프트웨어입니다. 주로 한 사람이 개발하고 유지 관리합니다.이 서비스는 어떠한 수수료도 부과하지 않으며, 토큰도 발행하지 않습니다. 보호하는 가치는 엄청나게 크며, 약 1.6조 달러 규모의 자산 시장의 일부에 해당합니다. 하지만 보호를 담당하는 계층은 아무런 이익도 얻지 못합니다. Coldcard는 이러한 현상을 극명하게 보여주는 예입니다. 유료 하드웨어 제품으로서 판매되지만, 여전히 치명적인 결함이 존재합니다. 이 결함은 5년 동안 그대로 남아 있었습니다. 왜냐하면 그 비용 구조로서는 AI가 공격할 때 사용될 수준의 감사가 이루어지지 않았기 때문입니다. 이 시스템에서의 가치는 보호 기능을 제공하는 소프트웨어로 전달되지 않습니다. 그 가치는 하드웨어 제조업체들에게, 그리고 궁극적으로는 비트코인 자체로 전달됩니다. 월렛 및 검증 계층은 공공재이며, 선의와 개인 개발자의 시간으로 자금이 조달됩니다.

그 취약성은 작은 부분에서도 나타납니다. 6월에 애플은 Raw의 개발자 계정을 거의 완전히 삭제할 뻔했습니다.가짜 스파로우 클론들을 알려주는 경고 애플리케이션을 만들었습니다. — 항소가 처리되기 전까지는 그렇습니다.주류 플랫폼에서 자가 관리가 가능한 조건은, 한 사람의 계정이었다.

투자자에게 이것이 의미하는 바는 무엇인가요?

소매 투자자에게 있어서, Coldcard와 AI의 문제는 위험의 측면으로 볼 수 있습니다. 만약 당신이 중앙 관리자나 거래소, 펀드, 신탁기관을 통해 비트코인을 보유하거나 보유하고 싶다면, 그 전체 과정을 외부 기관에 맡기는 것입니다. 그렇게 되면 실패할 경우의 책임은 그 외부 기관에 있습니다. 반면, 자가 관리하는 경우는 키를 가지고 있지만, 그 체인 자체는 외부에 있습니다. 즉, 무료 소프트웨어를 사용하고, 자원봉사자들이 검토를 해주며, 당신이 직접 작성하지 않은 펌웨어와 서버를 사용하는 것이죠.

스파로우의 업데이트는 자가 관리 방식에 있어서 다소 긍정적인 신호입니다. 응답 속도가 빠르고, 비용도 저렴하며, 보안이 최우선입니다. 또한 인공지능을 활용하면 방어 비용도 줄어듭니다. 콜드카드를 공개한 것과 같은 기계적 방법으로 스파로우의 전체 코드베이스를 몇 주 만에 분석할 수 있었으며, 루어의 판단에 따르면 자금을 위험에 빠뜨릴 가능성은 없었습니다. 문제는 구조적인 것입니다. “안전”의 기준은 인공지능을 활용한 공격자들이 무엇을 찾을 수 있는지에 달려 있으며, 방어 측면에서는 그 경쟁에서 승리할 수 있는 수익원이 없습니다. 이러한 문제들은 무료로 해결되었는데, 스파로우는 어떤 요금도 받을 필요가 없기 때문입니다. 감사 작업도 한 개발자가 시간을 투자하여 진행된 것입니다. 이 모델에서 계속 그렇게 될 것이라는 보장은 없으며, 공격자의 비용은 계속 감소하고 있습니다.

그것이 바로 이 해제로 인해 남는 유용한 요소입니다. 이는 버그와는 관련 없는 문제이며, 비트코인의 전망에도 아무런 영향을 미치지 않습니다. 이는 비용과 관련된 문제일 뿐입니다. 가장 적은 보안 장비로 보호되는 가장 큰 자산 시장이죠. 보관자를 선택하거나 자신의 키를 사용하는 사람들은, 어떤 실패 모드를 감당할 수 있는지, 그리고 어떤 실패 모드를 받아들일 수 있는지를 결정하는 것입니다. 스파로의 changelog는 이러한 선택을 조금 더 명확하게 만들어줍니다.