갤럭시 리서치가 진행 중인 콜드카드 하드웨어 지갑 해킹 사건과 관련해, 비트코인 1,719개(약 1억 1,100만 달러 상당)가 도난된 것을 높은 신뢰도로 확인했다고 밝혔다. 조사가 계속되는 만큼 최종 피해 규모는 1억 3,000만 달러를 넘어설 수 있다는 전망도 내놨다.
갤럭시 측 분석에 따르면 확인된 도난 사건만 25개가 넘는 서로 다른 공격 패턴으로 나뉘고, 세 차례의 개별적인 공격 물결에 걸쳐 발생했다. 갤럭시는 이 증거가 단일 조직의 치밀한 공격이 아니라 여러 공격자가 동일한 취약점을 각자 독립적으로 파고든 결과를 가리킨다고 설명했다.
2021년 심어진 펌웨어 버그
문제의 근본 원인은 2021년 3월로 거슬러 올라간다. 당시 펌웨어 통합 과정에서 실수로 시드 생성 로직이 콜드카드의 STM32 칩에 내장된 하드웨어 기반 난수 생성기 대신, 예측 가능한 소프트웨어 의사난수 생성기로 잘못 연결됐다. 이 결함은 2021년 3월 17일 이후 배포된 펌웨어를 사용하는 콜드카드 Mk3, Mk4, Mk5, Q 기종에 한정된 것으로 보이는데, 그 사이 취약한 기기에서 생성된 지갑 시드라면 이론적으로 버그를 역설계한 공격자에게 예측당할 수 있었다는 뜻이다.
같이 보면 좋은 기사: 콜드카드 해킹 피해액 1억 1,100만 달러 돌파…피해자 중간값 1 BTC 손실
아직은 묶여 있는 자금
주목할 점은 갤럭시 연구진이 파악한 바로는 도난 자금 대부분이 아직 온체인에서 사용되지 않은 채 남아 있다는 것이다. 공격자들은 비트코인을 새 지갑으로 옮기기만 했을 뿐, 통상적인 세탁 경로를 통한 환전이나 분산은 아직 진행하지 않았다. 이는 수사기관과 거래소들이 자금이 실제로 현금화되기 전에 오염된 코인을 미리 표시해둘 수 있는 시간을 벌어줄 수도 있는 대목이다. 이번 사건은 하드웨어 지갑 보안 업계 전반에 힘든 시기가 이어지는 가운데 터졌다. 앞서 도난 총액이 1억 1,100만 달러를 넘어섰을 당시 피해자별 중간값이 1 BTC라는 보도가 나온 지 얼마 지나지 않아서다.
