Bitcoin 보관을 위한 출애굽기 지갑은 얼마나 안전한가요?

엑소더스 지갑의 보안 아키텍처

1. Exodus는 비관리형 모델을 사용합니다. 즉, 사용자는 항상 개인 키에 대한 모든 권한을 보유합니다.

2. 지갑은 Ledger 및 Trezor와 같은 하드웨어 장치와 통합되어 사용자가 보안 요소를 사용하여 오프라인으로 거래에 서명할 수 있습니다.

3. 개인 키는 애플리케이션의 샌드박스 환경에 저장되기 전에 AES-256 암호화를 사용하여 장치에서 로컬로 암호화됩니다.

4. Exodus는 원격 서버에 시드 문구나 개인 키를 저장하지 않습니다. 복구 문구는 지갑 설정 중에 한 번만 생성되어 표시됩니다.

5. 데스크톱 및 모바일 버전은 플랫폼별 보안 저장소 API(macOS/iOS의 키체인 및 Android의 키스토어)를 사용하여 민감한 데이터를 보호합니다.

취약점 노출 기록

1. 2024년 초, Kaspersky 연구원들은 크랙이 발생한 macOS 애플리케이션을 통해 위조 Exodus 설치 프로그램을 배포하는 악성 코드 캠페인을 식별했습니다.

2. 공격자는 수정된 Exodus 바이너리를 포함하여 불법 복제 소프트웨어를 실행하는 데 필요한 구성 요소로 가장한 가짜 "활성화 도구"에 악성 페이로드를 삽입했습니다.

3. 이러한 활성화자는 관리자 권한을 요청하고 복사된 시드 문구를 포함하여 클립보드 내용을 캡처할 수 있는 영구 백도어를 설치했습니다.

4. 공식 출애굽기 바이너리는 손상되지 않았습니다. 그러나 제3자 배포 채널은 정교하지 않은 사용자에게 상당한 위험을 초래했습니다.

5. Exodus는 공식 웹사이트나 검증된 앱 스토어 외부에서 가져온 설치에 대해 책임을 지지 않습니다.

종자 문구 관리 관행

1. Exodus는 지갑 초기화 중에 암호화된 보안 엔트로피 소스에서 파생된 BIP39 호환 12단어 복구 문구를 생성합니다.

2. 사용자는 스크린샷을 찍거나 이메일을 보내거나 시드 문구를 디지털 방식으로 저장하지 말 것을 명시적으로 경고합니다. 이는 업계 모범 사례에 따른 지침입니다.

3. 인터페이스는 전체 문구의 자동 복사를 방지하며 각 단어를 개별적으로 표시하기 전에 수동으로 확인해야 합니다.

4. Exodus는 시드 문구에 대한 클라우드 백업 옵션을 제공하지 않으므로 서버 측 노출 벡터를 제거합니다.

5. 내장된 문구 확인 단계를 통해 사용자는 계속 진행하기 전에 복구 단어를 올바르게 기록하고 유지합니다.

공격 표면 분석

1. 데스크톱 및 모바일 애플리케이션인 Exodus는 다른 프로세스가 메모리나 클립보드 데이터에 액세스할 수 있는 공유 OS 환경에서 실행됩니다.

2. 브라우저 확장 프로그램은 심지어 합법적인 확장 프로그램이라도 문서화된 위험을 내포하고 있습니다. 복사-붙여넣기 작업에서 시드 문구를 수집하는 악성 변종이 관찰되었습니다.

3. 지갑에는 데스크톱 플랫폼에서 거래 서명을 위한 기본 생체 인식 인증이 부족하여 비밀번호 강도에 대한 의존도가 높아집니다.

4. Exodus는 350개 이상의 토큰에 대한 다중 자산 관리를 지원하여 단일 타협의 잠재적 영향을 여러 블록체인에 걸쳐 확장합니다.

5. 오픈 소스 프런트 엔드 코드는 공개적으로 감사 가능하지만 핵심 암호화 모듈은 비공개 소스이며 독점 상태로 유지됩니다.

자주 묻는 질문

Q: Exodus는 다중서명 또는 임계값 서명 체계를 지원합니까? Exodus는 기본적으로 다중서명 지갑이나 TSS 프로토콜을 구현하지 않습니다. 체인당 단일 서명 ECDSA 키 쌍을 사용합니다.

Q: Exodus를 에어갭 장치와 함께 사용할 수 있나요? 예. Ledger 또는 Trezor 하드웨어 지갑과 결합하면 Exodus는 보안 요소에 서명을 위임하여 완전한 에어갭 거래 준비를 가능하게 합니다.

Q: Exodus는 인프라에 보관된 사용자 자금과 관련하여 침해를 겪은 적이 있습니까? 아니요. Exodus는 비수탁형 지갑으로 운영됩니다. 사용자 자산을 보유하지 않으므로 관리 자금 손실을 겪을 수 없습니다.

Q: Exodus 모바일 앱은 Google Play 및 Apple App Store에서 사용할 수 있나요? 예. 공식 Exodus 모바일 앱은 Apple이 엄격한 코드 서명을 시행하고 Google이 Play Protect 검사를 적용하는 두 스토어를 통해 독점적으로 배포됩니다.