콜드카드 하드웨어 지갑 취약점으로 비트코인 546억 원 유출

최근 콜드카드 하드웨어 지갑의 치명적인 취약점이 발견되면서, 약 594개의 비트코인(BTC), 즉 한화로 약 546억 원이 단 25분 만에 유출되는 사건이 발생했다. 이 공격은 금요일 01시 31분부터 01시 56분(UTC) 사이에 이루어졌으며, 약 500개의 개별 지갑에서 자금이 동시에 이체되었다. 전체적으로 1,324개의 비트코인이 500건의 거래로 분산되어 이동했으며, 이 중 562 BTC는 여전히 단일 주소에서 움직이지 않고 있다.

해킹이 주로 단일 서명(single-signature) 지갑을 대상으로 집중적으로 이루어진 점이 주목된다. 유출된 지갑마다 최소 0.15 BTC 이상이 들어 있었고, 상당수는 2021년부터 2026년 사이에 생성된 동안 활동이 없던 휴면 지갑이었다. 이는 콜드카드의 취약점이 존재했던 시점과 일치하기 때문에 더욱 경계가 필요하다.

콜드카드는 캐나다의 코인카이트(Coinkite)에서 만든 비트코인 전용 하드웨어 지갑으로, 인터넷과 분리된 환경에서 개인 키를 안전하게 보관하는 기능을 제공한다. Mk2부터 Mk5까지 다양한 버전이 출시되었으며, 중요한 점은 해당 취약점이 기기 구매 시점이 아닌 ‘지갑 생성 당시의 펌웨어 버전’에 따라 결정된다는 것이다.

가장 큰 문제는 비트코인 지갑 보안의 핵심 요소인 ‘무작위성(randomness)’이 제대로 작동하지 않았다는 것이다. 블록(Block)의 엔지니어링 및 보안팀에 따르면, 콜드카드 펌웨어는 내부 하드웨어 난수 생성기를 우회하도록 설정되어 있었으며, 이로 인해 키 생성은 기기 일련번호와 내부 클럭 값을 기반으로 한 예측 가능한 방식으로 진행되었다. 이 정보들은 비밀 정보가 아니며, 공격자가 쉽게 유추하거나 재현할 수 있는 수준이었다.

이와 같은 취약점은 단순히 지갑 시드(seed)에 그치지 않고, 콜드카드의 종이 지갑 개인 키, 시드 분할 마스크, 기기 복제 키, 그리고 ‘키 텔레포트(Key Teleport)’ 전송 기능에도 영향을 미치는 것으로 확인되었다. 코인카이트는 Mk3 모델에서 4.0.1 이상의 펌웨어로 시드를 생성한 사용자에게 주의를 요청했으나, Mk4, Q, Mk5 모델은 "초기 분석 기준으로는 영향이 없다"고 밝혔다.

이번 사건에도 불구하고 비트코인 시장의 반응은 제한적이었다. 비트코인(BTC) 가격은 아시아 초기 거래에서 6만4,000달러 이상을 유지하며 안정적인 흐름을 보였다. 이는 시스템 전반의 리스크가 아니라 개별 제품에서 발생한 문제로 인식되었기 때문으로 평가된다.

이번 사건은 하드웨어 지갑조차 설계 결함으로부터 자유롭지 않음을 보여주며, 자산 보관 전략을 재점검할 필요성을 대두시켰다. 사용자는 하드웨어 지갑을 선택할 때 난수 생성 방식 및 펌웨어 검증 체계를 확인하는 것이 필수적이며, 단일 서명 지갑보다 멀티시그(Multi-Sig) 구조를 도입하여 리스크를 분산할 필요가 있다.