콜드카드(Coldcard) 하드웨어 지갑 취약점을 악용한 해커가 온체인 자금 이동을 재개했다. 블록체인 분석업체 룩온체인(Lookonchain)에 따르면 이 해커는 30.185 BTC, 약 194만 달러 상당을 새 지갑으로 옮겼다. 이번 이체는 취약점이 처음 드러난 이후 이미 2,055 BTC 이상, 약 1억 3,000만 달러 상당을 훔친 공격자가 여전히 활발히 움직이고 있다는 최신 신호다.
문제의 근원은 5년 전인 2021년 3월로 거슬러 올라간다. 콜드카드 제조사 코인카이트(Coinkite)가 당시 배포한 펌웨어에 빌드 설정 오류가 있었고, 이 때문에 영향을 받은 기기들은 하드웨어 전용 엔트로피 소스 대신 취약한 소프트웨어 난수 생성기로 지갑 시드를 생성했다. 그 결과 해당 기간에 생성된 시드는 결함을 이해한 공격자라면 이론적으로 예측할 수 있는 상태로 남아 있었다.
여러 차례에 걸쳐 진행된 도난
이번 사태는 7월 30일 공격자가 단 41분 만에 1,196개 주소를 털어 약 1,082.65 BTC, 당시 기준 약 7,020만 달러를 빼돌리며 시작됐다. 이후 블록체인 모니터링 업체들은 5,200개가 넘는 개별 주소에 영향을 준 네 차례의 별도 도난 물결을 추적했으며, 공격자가 초기 러시 이후 발견된 취약 지갑들을 계속 쓸어 담으면서 누적 피해액은 1억 3,000만 달러를 넘어섰다.
같이 보면 좋은 기사: 콜드카드 취약점 악용에 지갑 대이동…비트코인 활성 주소 18개월 만에 최고
펌웨어 패치로 끝나지 않는 위험
코인카이트는 이후 해당 펌웨어 결함을 패치했지만, 이미 취약한 버전에서 시드를 생성한 지갑에는 이 패치가 아무런 도움이 되지 않는다. 이런 지갑들은 영구적으로 손상된 것으로 간주해야 한다. 보안 연구자들은 2021년 3월부터 패치 이전 사이에 콜드카드를 설정한 사용자라면 즉시 새로 생성한 시드로 자금을 옮기라고 촉구하고 있다. 이번 이체에서도 드러나듯 공격자는 초기 물결에서 자금을 모두 소진한 것이 아니라, 노출된 주소 풀을 여전히 적극적으로 훑고 있기 때문이다.
