콜드카드 하드웨어 지갑에서 보안 취약점 발견…비트코인 1000개 이상 유출

하드웨어 지갑으로 알려진 콜드카드에서 심각한 보안 취약점이 발견되면서 대규모 비트코인 유출 사건이 발생했다. 이 사건으로 인하여 1000개 이상의 비트코인이 유출되었으며, 바이낸스 창립자 창펑 자오(CZ)는 자산을 여러 지갑에 나누어 저장하는 '분산 보관' 방식을 대응책으로 제시했다.

이번 사건의 발단은 2021년 3월에 도입된 펌웨어의 결함에서 비롯되었다. 일부 콜드카드 기기는 복구 시드 생성에 사용되는 난수의 품질이 저하되었고, 이로 인해 공격자는 오프라인 환경에서도 개인 키를 재구성할 수 있는 가능성이 열리게 되었다. 이로 인해 물리적 접근 없이도 자산을 탈취할 수 있었던 것이다.

초기 온체인 분석에 따르면 지난 7월 30일 약 25분 동안 500개의 지갑에서 비트코인 594개가 이동한 것으로 나타났다. 당시 그 가치는 약 3800만 달러, 즉 한화로 약 549억 원에 해당한다. 그러나 갤럭시 리서치의 추가 분석에서는 피해 규모가 더욱 확대되어, 약 41분 동안 총 1082.65 비트코인이 1196개 주소로부터 유출된 것으로 집계되었다. 특히 유출된 지갑 상당수는 오랜 시간 동안 휴면 상태였던 것으로 드러났다.

콜드카드를 제작한 코인카이트는 해당 버그를 공식적으로 인정하고 사과와 함께 긴급 펌웨어 업데이트를 배포했다. 하지만 제조사는 단순한 업데이트만으로는 기존 취약한 시드가 안전해지지 않는다고 강조했다. 만약 문제 버전에서 생성된 시드를 사용하는 경우, 새로운 시드를 생성하여 자산을 다른 지갑으로 이전할 것을 권장하고 있다.

CZ는 소셜미디어를 통해 "하드웨어 지갑도 완벽하지 않다"며 오랜 시간 검증된 장치조차 버그가 존재할 수 있다는 점을 지적했다. 그는 "자산을 여러 지갑에 나누는 것도 하나의 방법이지만, 이를 관리하는 데 따르는 복잡성이라는 새로운 위험이 따른다"고 덧붙였다.

이번 사건은 '셀프 커스터디(자기 보관)'의 한계를 다시 한번 부각시키고 있다. 하드웨어 지갑이 오프라인으로 저장된 방식으로 높은 보안을 제공한다고 평가받아 왔지만, 장기간 발견되지 않은 취약점이 존재할 수 있다는 사실이 확인되었기 때문이다. 이로 인해 보안은 단일 수단으로 해결될 것이 아니라, '분산과 지속적인 점검'이라는 기본 원칙을 바탕으로 관리되어야 한다는 교훈을 얻게 되었다.

이번 사건은 하드웨어 지갑의 보안 인식에도 큰 충격을 주고 있으며, 시장 전반적으로 사용자들의 보안 점검에 대한 경각심이 높아지고 있다. 비트코인 유출 사건을 통해 다양한 보안 전략을 다시 리뷰하고, 관리 체계를 강화하는 기회가 되어야 할 것이다.