스위스 하드웨어 월렛 제조업체 비트박스(BitBox)가 BitBox02 펌웨어에서 발견된 심각한 보안 취약점 2건을 수정한 업데이트를 배포했다.

비트박스는 최근 공개한 ‘Dixence 업데이트’ 공지를 통해 내부 보안감사에서 확인된 메모리 손상 문제와 사일런트 페이먼트(Silent Payments) 관련 결함을 펌웨어 버전 9.26.5에서 해결했다고 밝혔다.

이번 감사에는 최신 인공지능(AI) 모델을 활용한 코드 검토도 포함됐다. 비트박스는 AI 기반 테스트와 엔지니어의 검증을 병행해 펌웨어와 소프트웨어 스택을 점검했다고 설명했다.

첫 번째 취약점은 비트박스 멀티 에디션에서 발생하는 메모리 손상 문제다. 지갑이 아직 설정되지 않은 기기를 악성 컴퓨터나 호스트 장치에 연결하면 공격자가 임의 코드를 실행하거나 악성 펌웨어를 설치할 가능성이 있었다.

해당 결함은 지갑 설정을 완료하지 않은 BitBox02 및 BitBox02 Nova 멀티 에디션의 펌웨어 9.26.4 이하 버전에 영향을 미친다. 취약한 코드가 포함되지 않은 비트코인 전용 에디션은 영향을 받지 않는다.

두 번째 취약점은 비트코인의 사일런트 페이먼트 기능과 관련됐다. 악성 호스트 장치를 통해 거래할 경우 이용자가 의도하지 않은 주소로 비트코인이 잠길 수 있는 문제다.

이 결함을 악용해 공격자가 자금을 직접 탈취할 수는 없지만, 공격자와 수취인의 협조가 있어야 코인을 되찾을 수 있는 상황을 만들어 몸값을 요구하는 공격에 활용될 가능성이 있었다. 펌웨어 9.21.0부터 9.26.4까지의 BitBox02와 BitBox02 Nova가 잠재적인 영향 대상이다.

비트박스는 두 취약점을 모두 펌웨어 9.26.5에서 수정했다. 현재까지 해당 문제의 실제 악용이나 이용자 자금 손실, 지갑 시드 탈취 사례는 보고되지 않았다. 기존 이용자의 월렛 시드 역시 이번 취약점으로 변경되거나 손상되지 않는다고 설명했다.

비트박스는 이와 함께 앞서 수정한 부트로더 취약점의 잠재적 위험도 추가로 공개했다. 공격자가 이용자를 피싱 사이트로 유도해 가짜 BitBoxApp을 설치하게 하고 이용자가 기기 잠금을 해제하면 실제 BitBox02에 악성 펌웨어를 설치할 수 있었던 문제다.

다만 부트로더 결함은 이번 9.26.5 버전에서 처음 수정된 것이 아니다. 지난 ‘Oeschinen 업데이트’에 포함된 펌웨어 9.26.2에서 이미 해결됐으며, 최신 BitBox02 Nova는 영향을 받지 않는다.

따라서 최초 보도에서 언급된 피싱 기반 부트로더 문제와 메모리 손상 문제를 ‘펌웨어 9.26.5에서 수정된 취약점 2건’으로 묶는 것은 정확하지 않다.

9.26.5에서 새롭게 수정된 심각한 문제는 메모리 손상과 사일런트 페이먼트 결함이며 부트로더 문제는 이전 버전에서 패치됐다.

이용자는 기존에 설치한 공식 BitBoxApp 내부의 업데이트 알림을 선택하고 기기를 연결한 뒤 ‘기기 관리’ 설정에서 펌웨어를 9.26.5 이상으로 업데이트하면 된다.

업데이트 파일을 내려받을 때는 주소가 공식 홈페이지인 bitbox.swiss인지 반드시 확인해야 한다.

검색광고나 이메일에 포함된 링크를 통해 가짜 앱을 설치해서는 안 되며, 비트박스는 복구 단어를 요구하지 않는다.

복구 단어는 컴퓨터나 스마트폰, 웹사이트 또는 앱에 입력하지 말고 반드시 하드웨어 월렛 기기에서만 취급해야 한다. 보안 업데이트를 사칭한 피싱 이메일이나 메시지에도 주의가 필요하다.