비트코인(BTC) 약 594개, 한화로 약 546억 원에 해당하는 자산이 콜드카드 하드웨어 지갑의 취약점을 악용한 공격으로 단 25분 만에 유출됐다. 이 사건은 콜드카드의 키 생성 방식에 결함이 악용되면서 비트코인 지갑의 보안 신뢰성에 큰 경고를 보냈다.

이번 공격은 금요일 오전 01시 31분부터 01시 56분(UTC) 사이에 발생하였으며, 약 500개의 개별 지갑에서 자금이 이탈했다. 총 1,324개의 비트코인이 500건의 거래로 나뉘어 이동해, 이 중 562BTC는 현재까지도 한 주소에 정체되어 있는 상태다. 유출된 지갑들은 모두 ‘단일 서명(single-signature)’ 구조를 가지며, 각 지갑에 최소 0.15 BTC 이상이 포함되어 있었다. 특히 다수의 지갑은 수년간 비활성 상태였던 휴면 지갑으로, 이때 생성된 코인들이 공격 시기와 정확히 겹치는 것으로 확인됐다.

콜드카드는 캐나다 기업 코인카이트(Coinkite)에서 제작한 비트코인 전용 하드웨어 지갑으로, 인터넷과 분리된 환경에서 개인 키를 보호하는 장치지만, 이번 취약점은 기기 구매 시기가 아닌 지갑 생성 시의 펌웨어 버전에 따라 취약 여부가 결정된다는 점이 중요하다.

문제의 핵심은 비트코인 지갑의 보안 근간인 무작위성(randomness)이 제대로 구현되지 않았다는 점이다. 비트코인 개인 키는 추측이 불가능할 정도로 충분히 무작위적으로 생성되어야 하지만, 해당 하드웨어의 펌웨어가 내부 하드웨어 난수 생성기를 우회하도록 설정되어 있었다. 더욱 심각한 점은 이를 점검하는 라이브러리 코드가 기능의 활성화 여부를 확인하지 않고 단순히 존재 여부만을 체크했다고 한다. 이 결과로 인해 키 생성은 기기 일련번호와 내부 클럭 값을 기반으로 한 소프트웨어 방식으로 대체되어, 공격자가 이를 유추하는 것이 가능해졌다.

이번 취약점은 단순 지갑 시드(seed) 뿐만 아니라 콜드카드의 종이 지갑 개인 키, 시드 분할 마스크, 기기 복제 키, 그리고 ‘키 텔레포트(Key Teleport)’ 전송 기능에도 영향을 미쳤다. 코인카이트 측은 Mk3 기기에서 4.0.1 이상의 펌웨어로 시드를 생성한 사용자에게 주의를 경고했으며, Mk4, Q, Mk5 모델은 초기 분석의 결과로써 영향이 없다고 밝혔다.

이와 같은 대규모 유출에도 불구하고 시장 반응은 제한적이었다. 비트코인(BTC)은 아시아 초기 거래에서 6만4,000달러를 유지하고 있으며, 비교적 안정적인 흐름을 보이고 있다. 이는 이번 사건이 시스템적인 리스크보다 특정 제품의 문제로 여겨졌기 때문으로 풀이된다. 이번 사건은 하드웨어 지갑이 설계 결함에서 자유롭지 않다는 점을 다시 한번 드러내며, 사용자들은 키 생성 방식과 펌웨어 검증의 중요성을 되새겨야 할 필요성이 커지고 있다.

기존 사용자들은 위험성을 줄이기 위해 꼭 지갑 생성 시의 펌웨어 버전을 확인하고 필요한 경우 새로운 환경으로 자산을 이전하는 것이 권장된다. 또한, 단일 서명 지갑은 구조적으로 단일 실패 지점을 가지므로 보안을 강화하기 위해 멀티시그 지갑으로의 전환을 고려할 필요가 있다. 장기적으로 보관하고 있는 자산이라면 정기적으로 점검하거나 안전한 환경으로 이전하는 것이 바람직하다.

이번 사건을 계기로 하드웨어 지갑을 선택할 때는 단순히 하드웨어의 안전성만을 의존하는 것이 아니라, 난수 생성 방식과 펌웨어 검증 체계의 안정성도 중요하게 고려해야 할 것이다.