비트코인 하드웨어 지갑 콜드카드(Coldcard)를 만드는 코인카이트(Coinkite)가 블룸버그에 현재는 피해 고객을 지원하는 데 집중하고 있으며, 수천 개 주소에서 비트코인이 빠져나간 이번 며칠간의 보안 사고에 대한 사후 보고서를 발표하겠다고 밝혔다. 외부 추적 업체들이 피해 규모를 1억~1억 3,000만 달러로 추산하는 가운데도, 회사 측은 정확한 피해액 추정은 유보했다.
이번 취약점은 2021년 3월부터 배포된 펌웨어 버전 4.0.0으로 거슬러 올라간다. 해당 버전이 설치된 콜드카드 기기는 키 생성 과정에서 전용 하드웨어 난수 발생 칩을 우회하고, 예측 가능한 소프트웨어 대체 방식에 의존하도록 만들어져 있었다. 이 결함으로 공격자는 비트코인 시드 문구를 추측해낼 수 있었고, 관련 보도에 따르면 약 5,200개 주소에서 1,816 BTC가량을 빼냈다. 영향을 받는 기기는 펌웨어 4.0.1 이상을 쓰는 일부 Mk3 모델과, 구버전 펌웨어를 쓰는 Mk4·Mk5·Q 모델이다.
아직 보상안은 없다
코인카이트는 블룸버그에 입장을 밝힌 시점까지 피해 고객에 대한 보상안을 내놓지 않았다. 현재로서는 손실을 메워주는 역할이 아니라 피해자 지원에 그치는 셈이다. 회사가 사후 보고서가 완성될 때까지 피해 추정치 공개를 미루기로 하면서, 최종 피해 규모와 구제 방안을 둘러싼 물음표는 당분간 풀리지 않은 채로 남게 됐다. 그 사이에도 온체인 추적 업체들은 공격자의 자금 이동을 계속 주시하고 있다.
같이 보면 좋은 기사: 콜드카드 취약점 해커, 훔친 비트코인 30 BTC 추가 이동
해커의 자금 이동은 계속되고 있다
이번 익스플로잇은 최초 유출 이후로도 한참 동안 온체인 활동을 만들어내고 있다. 공격이 처음 감지된 이후에도 며칠에 걸쳐 훔친 비트코인을 계속 옮기고 있기 때문이다. 콜드카드가 개인 키를 오프라인에 두고 이런 종류의 원격 침해로부터 지켜내도록 설계된, 보안 중심의 콜드 스토리지 기기로 명성을 쌓아온 만큼, 이번 사고는 최근 하드웨어 지갑 보안 사고 가운데서도 특히 주목받는 사례가 됐다.
코인카이트는 사후 보고서를 언제 공개할지에 대해서는 아직 일정을 밝히지 않았다.
