비트코인 일일 활성 주소 수가 98만 개까지 치솟았다. 2024년 12월 이후 최고 수준이다. 콜드카드 하드웨어 지갑에서 진행 중인 익스플로잇 여파로 보유자들이 서둘러 자금을 다른 곳으로 옮기고 있기 때문이다. 온체인 분석업체 글래스노드는 이번 급증을 공포에서 비롯된 움직임으로 설명했다. 통상적인 거래 수요라기보다는, 보유자들이 시드를 옮기고 자금을 다른 커스터디로 이전하는 일종의 보안 대응 행동이라는 것이다.
이번 익스플로잇의 근원은 코인카이트의 콜드카드 기기에 5년째 남아 있던 펌웨어 결함이다. 2021년 3월 배포된 펌웨어 빌드 설정 과정에서 오류가 생기면서, 시드 생성 시 전용 하드웨어 엔트로피 소스 대신 취약한 소프트웨어 난수 생성기로 대체되는 문제가 발생했다. 이로 인해 원래 128비트로 설계됐던 실효 키 강도가 영향받은 기기 일부에서는 최대 40비트까지 떨어졌다. 기기에 물리적으로 접근하지 않고도 현대적인 연산력으로 충분히 무차별 대입 공격이 가능한 수준이다.
피해액 1억 1,600만 달러 넘어서
절도는 7월 30일 시작됐다. 공격자가 영향받은 지갑에서 자금을 빼내기 시작했고, 25분 만에 약 594 BTC, 당시 시세로 약 3,800만 달러어치가 약 500개 지갑에서 하나의 집결 주소로 빠져나갔다. 이후로도 최소 네 차례의 별도 도난 물결이 이어졌고, 갤럭시 리서치가 집계하는 누적 피해액은 5,200개가 넘는 주소에서 빠져나간 약 1,816 BTC, 금액으로는 약 1억 1,600만 달러에 육박한다.
코인카이트는 이번 취약점이 펌웨어 4.0.1 이상에서 설정된 일부 Mk3 기기와, 구버전 펌웨어를 쓰는 Mk4·Mk5·Q 기기에 영향을 준다고 확인했다. 콜드카드의 주사위 굴림 엔트로피 옵션으로 생성된 지갑은 영향을 받지 않으며 안전한 것으로 간주된다.
같이 보면 좋은 기사: 북한 해커 조직 잠입한 연구원, 코인베이스·유니스왑 등 1,640곳 피해 확인
다시 도마 위에 오른 셀프 커스터디
이번 사건은 셀프 커스터디의 실질적 위험을 둘러싼 오랜 논쟁에 다시 불을 붙였다. 일부 평론가들은 이런 사건이 반복될수록 리테일 보유자들이 하드웨어 지갑을 직접 관리하기보다 현물 비트코인 ETF 같은 커스터디 상품 쪽으로 옮겨갈 수 있다고 본다.
지금으로서는 활성 주소 급증 자체가 보유자들이 이 위협을 얼마나 심각하게 받아들이고 있는지를 보여주는 신호다. 자신이 영향을 받았는지 지켜보며 기다리기보다, 상당수 네트워크 참여자들이 먼저 움직이고 질문은 나중에 던지는 쪽을 택하고 있는 셈이다.
