코인카이트(Coinkite)의 하드웨어 지갑 콜드카드(Coldcard)에서 수년째 이어진 펌웨어 결함으로 인한 피해액이 약 8,860만 달러까지 불어났다. 갤럭시 리서치(Galaxy Research)가 새로 내놓은 수치에 따르면, 취약한 지갑을 노린 탈취는 최근에도 새로운 물결을 이루며 계속되고 있다. 이번에 새로 확인된 물량만 207.73 BTC에 달하며, 캠페인이 시작된 이후 4,585개 주소에서 도난당한 총 물량은 약 1,367 BTC로 집계됐다.
문제의 근원은 2021년 3월 콜드카드 기기에서 발생한 펌웨어 오류로 거슬러 올라간다. 이 오류로 시드 문구가 충분한 무작위성 없이 생성됐고, 결함이 있는 생성 과정을 재현할 수 있는 사람이라면 누구든 개인키를 추측해낼 수 있는 상태였다. 갤럭시 리서치의 애널리스트 알렉스 손(Alex Thorn)은 이번 탈취 양상이 "의도적이고 체계적"으로 보인다며, 공격자들이 대형 언어모델(LLM) 오케스트레이션을 활용해 노출된 지갑을 체계적으로 찾아내 비우고 있을 가능성을 제기했다.
잠자던 자금, 체계적으로 빠져나가다
갤럭시의 분석에 따르면 피해자들의 자금은 탈취되기까지 평균 3.18년 동안 방치돼 있었다. 많은 보유자가 코인이 이미 빠져나간 뒤에야 자신의 지갑이 뚫렸다는 사실을 알아챘을 가능성이 크다는 뜻이다. 수사관들은 지금까지 약 600개의 공격자 의심 주소를 포착했지만, 탈취된 자금 대부분은 별다른 추가 이동 없이 그대로 머물러 있는 것으로 나타났다. 이런 패턴은 자금 추적을 한층 까다롭게 만드는 요인이기도 하다.
갤럭시의 연구는 아직 취약 기기에 자금을 보관 중인 이들에게도 분명한 경고를 남겼다. 2021년 3월 이후 생성된 모든 단일 서명(single-signature) 콜드카드 주소는, 보유자가 새로 생성한 안전한 지갑으로 자금을 옮기지 않는 한 "결국에는 탈취당할 것"이라는 경고다.
같이 보면 좋은 기사: 8,900만 달러 콜드카드 유출 사태, "비트코인 ETF 명분 힘 실려"
피해자들이 감당해야 했던 몫
가장 최근 확인된 사건은 7월 29일 발생했으며, 늘어나는 개인 피해 사례 목록에 또 하나를 보탰다. 캐나다인 코치 조너선 굿맨(Jonathan Goodman)은 캐나다 달러 기준 약 160만 달러에 달하는 18.25 BTC를 잃었다고 밝혔다. 그는 이 경험을 담담하게 털어놓았다.
"가장 힘든 부분은, 제가 모든 걸 제대로 했다는 사실이에요."
본지가 이전에 보도했듯, 이번 유출 사태의 규모는 일부 애널리스트들 사이에서 개인이 직접 보관하는 하드웨어 지갑의 커스터디 리스크가 오히려 규제된 ETF 기반 비트코인 익스포저의 명분을 강화한다는 주장에 힘을 실어주고 있다. 피해 규모가 계속 늘어나고 갤럭시가 더 많은 취약 지갑이 여전히 노출된 상태라고 경고하는 가운데, 이번 사건은 비트코인 역사상 가장 파장이 큰 하드웨어 지갑 보안 사고 중 하나로 기록될 조짐을 보이고 있다.
