2021년부터 아무도 눈치채지 못한 채 방치돼 있던 콜드카드 하드웨어 지갑의 펌웨어 취약점이 악용되면서 약 8,900만 달러 규모의 자금이 빠져나갔다. 이번 사태로 자기보관과 현물 비트코인 ETF 같은 규제된 커스터디 상품 사이의 장단점을 둘러싼 논쟁이 다시 불붙었다. 문제가 된 기기를 만든 곳은 캐나다 제조사 코인카이트(Coinkite Inc.)로, 블룸버그 수석 ETF 애널리스트 에릭 발추나스는 이 회사 직원이 겨우 다섯 명 남짓이라는 점을 지적하며 "이렇게 중요한 일을 맡기엔 터무니없이 적은 인원"이라고 꼬집었다.
보도에 따르면 이번 취약점은 지갑이 개인키를 생성하는 방식 자체에서 비롯됐다. 격리된 보안 하드웨어 칩 내부에서 키를 생성하는 대신, 문제가 된 콜드카드 기기들은 예측 가능한 소프트웨어 기반 알고리즘에 의존했다. 이 때문에 공격자들은 오프라인 상태에서 키값을 계산해낸 뒤, 목표 지갑의 인증 정보를 재구성해 자동화된 인출을 실행할 수 있었다.
발추나스, 이번 사태로 ETF 우위론 펼쳐
발추나스는 이번 사태가 대다수 비트코인 투자자에게는 직접 하드웨어 지갑을 관리하는 것보다 규제된 커스터디 상품을 이용하는 편이 낫다는 점을 보여준다고 주장했다.
"비트코인을 실제 거래 수단으로 쓰고 싶다면 ETF는 나쁜 선택이지만, 일반 투자자 대부분에게는 단연 최선의 선택이라고 본다"고 그는 적으며, 비트코인을 거래 통화로 활용하는 것과 순수 투자 자산으로 보유하는 것을 구분해서 봐야 한다고 강조했다.
같이 보면 좋은 기사: 콜드카드 펌웨어 결함, 지갑 4,500여 개서 비트코인 8,900만 달러 유출
그의 논리는 규제된 현물 비트코인 ETF가 의존하는 기관급 커스터디 인프라에 근거를 두고 있다. 이런 ETF들은 대개 코인베이스나 렛저 같은 커스터디언을 통해 운용되는데, 이들은 전담 보안팀과 감사받는 프로세스를 갖추고 있어 직원 다섯 명짜리 하드웨어 지갑 제조사가 제공할 수 있는 수준을 훨씬 뛰어넘는다. 비트코인을 교환 수단이 아니라 포트폴리오 자산으로 바라보는 투자자가 점점 늘어나는 상황에서, 발추나스는 그 저울추가 명백히 ETF 쪽으로 기운다고 제언했다.
양날의 검인 트레이드오프
다만 이 비교에 한계가 없는 것은 아니다. 현물 비트코인 ETF는 보유자가 실제 비트코인을 24시간 언제든 인출할 수 있게 해주지 않으며, 주식은 자기보관 코인처럼 온체인에서 직접 거래에 쓸 수도 없다. 결제나 온체인 활동을 위해 비트코인에 직접 접근해야 하는 이용자에게는 이번 콜드카드 사태가 계산법을 바꾸지 않는다. 하지만 가치 보전이 최우선 관심사인 투자자라면, 이번 사건은 커스터디를 규제받는 자금력 있는 기관에 맡기는 쪽이 하드웨어 키를 직접 관리하는 것보다 위험이 적을 수 있다는 논리에 새로운 무게를 더한다.
