비트코인 하드웨어 지갑 콜드카드가 해킹당해 최소 1억1400만달러 피해가 발생했어요. 2021년 펌웨어 결함으로 개인키가 약해진 게 원인, 나흘 만에 피해가 3배로 불어났습니다. 자기보관 지갑 신뢰도에 금이 가면서 비트코인 자기보관 대 ETF 논쟁이 다시 불붙었어요.
요즘 비트코인 커뮤니티에서 제일 시끄러운 얘기가 이거예요. 콜드카드(Coldcard)라는 하드웨어 지갑 아시나요? 코인카이트(Coinkite)라는 회사가 만드는 건데, '콜드월렛계의 정석'이라고 불릴 정도로 신뢰받던 제품이었거든요. 근데 지난주부터 여기서 개인키가 털리는 사고가 터졌어요.
원인은 2021년 3월에 나온 펌웨어 업데이트(버전 4.0.1~4.1.9)에 있었어요. 원래 지갑 시드를 만들 때는 하드웨어 기반 난수생성기(RNG)를 써야 하는데, 이 버전에서는 특정 조건에서 소프트웨어 폴백 생성기가 대신 쓰였다고 해요. 문제는 이 폴백 생성기가 진짜 무작위가 아니라 예측 가능한 값을 뱉어냈다는 거예요. 원래 128비트여야 할 보안 강도가 사실상 40비트 수준으로 쪼그라든 거죠. 공격자 입장에서는 오프라인에서 키를 그대로 재현해낼 수 있었다는 뜻이에요.
피해 규모가 커지는 속도가 진짜 무서워요. 7월 31일 처음 3800만달러 피해가 보고됐는데, 8월 1일에는 41분 만에 1200개 주소에서 7000만달러가 빠져나갔고, 8월 2일에는 4500개 주소로 확산되며 8900만달러, 그리고 갤럭시리서치 추적 기준으로는 4차 공격 물결까지 겹치면서 1억1400만달러, 일부 집계로는 1억3000만달러(약 2055 BTC)까지 늘었다고 해요. 나흘 만에 피해가 3배 넘게 불어난 거죠.
코인카이트 측은 "콜드카드로 시드를 생성했다면 지금 당장 업데이트된 가이드에 따라 자금을 옮기라"고 긴급 공지했어요. 근데 문제는 이미 예전 펌웨어로 시드를 만든 지갑은 물리적으로 기기를 건드리지 않아도 오프라인에서 키가 재현될 수 있다는 점이에요. 사용자가 눈치채지 못한 채 몇 년째 노출된 상태로 자산을 들고 있었을 수도 있다는 얘기고요. 새 펌웨어는 앞으로 새로 만드는 시드만 안전하게 지켜줄 뿐, 이미 노출된 예전 시드는 자금을 옮기지 않는 이상 계속 위험한 상태예요.
이 사건이 파장이 큰 이유는 콜드카드가 자기보관(self-custody)의 대표주자였기 때문이에요. 거래소에 맡기지 않고 직접 하드웨어 지갑으로 관리하면 안전하다는 게 비트코인 커뮤니티의 오래된 믿음이었는데, 그 믿음의 근거가 흔들린 셈이거든요. 실제로 이번 사고 이후 일부에서는 "차라리 규제받는 비트코인 ETF가 더 안전한 거 아니냐"는 얘기까지 나오고 있어요.
비트코인 가격 자체는 생각보다 덤덤한 반응이에요. 현재 6만3000~6만4000달러 선에서 움직이고 있는데, 이번 해킹 뉴스만으로 크게 출렁이진 않았어요. 다만 최근 ETF 자금 유입이 둔화되고 있다는 신호랑 겹치면서, 이번 사고가 자기보관 자산에 대한 신뢰를 갉아먹는 방향으로 장기적인 영향을 줄 수 있다는 분석도 나와요.
솔직히 이런 뉴스 볼 때마다 드는 생각인데, '내 코인은 내가 지킨다'는 자기보관 철학 자체는 맞는 말인데, 결국 그 보안을 지탱하는 게 하드웨어 제조사의 펌웨어 코드 한 줄이라는 게 좀 아이러니해요. 5년 가까이 잠재해 있던 버그였다는 것도 그렇고요. 이번 기회에 오래된 지갑 쓰시는 분들은 시드 마이그레이션 꼭 확인해보시는 게 좋을 것 같습니다.
출처