콜드카드 보안 결함 드러나… 비트코인 1000개 탈취 사건 발생

비트코인(BTC) 1,000개 이상이 단 41분 만에 탈취되는 사건이 발생하면서 하드웨어 지갑 '콜드카드'의 보안 결함이 부각되고 있다. 7월 30일(UTC 기준) 01시10분부터 01시51분까지 총 1,082.65 BTC가 1,196개 지갑을 통해 빠져나가 약 7,000만 달러, 즉 원화로 약 1,011억 원에 해당하는 금액이 탈취된 것으로 나타났다. 이 사건으로 인해 초기 보고된 피해 규모보다 두 배 가까이 오른 것은 탈취 자금이 4개 주소로 분산됨에 따라 발생했다. 현재까지 해당 자금은 여전히 원래 위치에 머물고 있는 상태이다.

전문가들은 이번 사건이 단순한 해킹 사건이 아닌, 효과적인 '체계적 탐색' 공격으로 분석하고 있다. 갤럭시 리서치에 따르면, 탈취된 거래는 연속적인 형태가 아닌 '배치'로 이루어졌고, 여러 주소 포맷이 동시에 사용됐다는 특징이 있다. 이는 특정 사용자나 지갑을 목표로 한 것이 아니라, 모든 가능성 있는 키를 대상으로 한 공격임을 시사한다.

콜드카드의 보안 체계가 무너진 주된 원인은 '난수 생성 과정'에 있다. 일반적으로 하드웨어 지갑은 전용 하드웨어를 통해 예측 불가능한 난수를 생성해야 하지만, 콜드카드는 내부 설정 오류로 인해 이 과정이 건너뛰어졌고, 결과적으로 칩의 일련번호와 클럭 값에 의존하는 단순한 소프트웨어 방식이 적용됐다. 이 때문에 공격자가 생성 가능한 개인키의 범위를 사실상 유한한 수로 줄일 수 있었고, 특히 일부 모델에서는 약 40억 개로 축소되었다. 사람에게는 그 숫자가 커 보일 수 있지만, 컴퓨터에게는 충분히 계산 가능한 범위다.

공격자는 대량의 시드값을 생성하고 블록체인상의 주소와 비교하여 자금을 찾는 방식으로 공격을 수행했다. 이 과정은 피해자의 기기와는 무관하게 진행되며, 기기가 꺼진 상태에서도 공격은 가능하다. 갤럭시 리서치는 이번 사건을 단순한 무작위 공격이 아닌 재현 가능한 구조적 결함으로 보아 추가 피해의 위험성을 경고하고 있다.

이번 사건의 또 다른 문제는 사용자가 자신의 지갑이 취약한지 확인할 방법조차 없다는 점이다. 특정 시드값이 취약 범위에 포함되는지 검증할 수 없어, 해당 펌웨어를 사용한 경우에는 최악의 상황을 가정해야 하는 상황이다. 콜드카드 제조사인 코인카이트는 일부 모델에 대해 경고를 발표했지만, 블록(Block) 측 보고서는 Mk2, Mk4, Q, Mk5 모델까지도 영향을 받을 수 있다고 주장하고 있어 논란이 되고 있다.

해커는 노출된 방법에 대한 흔적을 일부 남긴 것으로 보인다. 블록의 클레이 개럿은 해커가 블록체인 데이터 서비스의 유료 계정을 사용하며 공격의 내부 로그와 일치하는 것을 확인했다고 언급했다. 이 정보는 이미 당국에 보고된 상태이다.

전문가들은 이번 사건이 '콜드 스토리지'에 대한 전반적인 인식을 바꿀 수 있는 계기가 될 것으로 보고 있다. 이제 보안의 기준은 '키에 접근할 수 없다면 안전하다'에서 '키를 예측할 수 없다면 안전하다'로 점차 이동하고 있다. 더욱이 최근 AI 기술의 발전이 이러한 위협을 더욱 가중시킬 수 있다는 점에서 우려가 커지고 있다.

결국 암호화폐 보안의 취약점이 '보관'보다 '생성' 단계에서 더욱 두드러지게 나타나고 있는 상황으로, 이번 비트코인 탈취 사건은 이러한 전환점을 명확히 드러내는 사례로 평가받고 있다.