코인카이트(Coinkite)의 하드웨어 지갑 콜드카드(Coldcard)에서 발견된 펌웨어 결함으로 인한 피해액이 1억 3천만 달러를 넘어섰다고 테크크런치가 보도했다. 그럼에도 정작 이 기기를 만든 회사는 여전히 구체적인 숫자를 내놓지 않고 있다. 코인카이트 측은 며칠간 이어진 공격에 대한 사후 분석에 집중하고 있을 뿐 피해 규모 추산에는 나서지 않고 있으며, 대신 외부 보안 연구 결과를 참고하라고 안내하는 데 그치고 있다.
문제의 근본 원인은 2021년에 삽입된 코드로 거슬러 올라간다. 블록(Block) 소속 연구진은 콜드카드 기기가 예측 가능한 시드 문구를 생성할 수 있다는 사실을 발견했는데, 원인은 결함이 있는 난수 생성기였다. 기기 자체의 하드웨어 기반 난수 발생 기능에 의존하는 대신 대체 생성기가 작동했고, 이 대체 생성기가 결정론적이라 사실상 역산이 가능한 값을 만들어낸 것이다. 공격자들은 피해자 기기에 물리적으로 접근할 필요조차 없었다. 결함이 있는 생성 과정을 무차별 대입으로 역추적해 마스터 키를 수학적으로 재구성했고, 이를 통해 외부에서도 지갑의 개인키를 그대로 복원해낼 수 있었다.
계속 불어난 피해 규모
사건의 규모는 빠르게 커졌다. 7월 31일 초기 추산에서는 피해 규모를 600 BTC 안팎, 약 3,800만 달러 수준으로 봤는데 당시 보도에서도 이미 이 총액이 더 늘어날 가능성이 크다는 경고가 나왔었다. 그리고 8월 4일이 되자 외부 추산치는 세 배 넘게 뛰어 1억 3천만 달러를 넘어섰고, 최소 열두 개가 넘는 별개의 해커 또는 해킹 조직이 각자 독립적으로 같은 결함을 파고든 것으로 나타났다. 코인카이트는 목요일에 보안 권고문을 처음 게시한 뒤, 상황이 좀 더 명확해진 토요일에 다시 한번 내용을 업데이트했다.
같이 보면 좋은 기사: BTCPay 서버, 실제 악용 중인 심각한 취약점 긴급 경고
이번 사건은 그 자체로도 크지만, 2026년 상반기에만 200건이 넘는 개별 해킹으로 업계 전체에서 9억 5천만 달러 이상의 손실이 발생한, 유독 혹독했던 한 해의 크립토 보안 흐름 속에 놓여 있다.
코인카이트, 유저들에게 “지금 당장 옮겨라”
코인카이트 CEO NVK는 유저들에게 단도직입적으로 경고했다.
“콜드카드로 시드를 생성한 적이 있다면, 이 글을 마저 읽기 전에 업데이트된 모범 사례를 참고해 지금 당장 자금부터 옮기세요.”
회사는 펌웨어 업데이트를 배포했고, 패치 이전에 만들어진 것이라면 무엇이든 신뢰하지 말고 새로 생성한 시드 문구로 마이그레이션할 것을 모든 영향받은 유저에게 촉구하고 있다. 코인카이트는 테크크런치에 이 안내 이상의 추가 코멘트는 내놓지 않았다.
자가보관 신뢰에 남은 상처
이번 해킹의 충격은 콜드카드 자체 유저층을 훨씬 넘어선 곳까지 번졌다. 하드웨어 지갑이 내세워온 가치 제안 자체가 기술적으로 능숙하고 신중한 보유자조차 보호해준다는 것이었기 때문이다. 비트코인 평론가 가이 스완(Guy Swann)은 이를 두고 “가장 지식이 풍부하고 제대로 보안을 갖췄다고 여겨지던 비트코이너들이 입은, 비트코인 역사상 최악의 타격”이라고 평했다. ARK 인베스트의 로렌초 발렌테(Lorenzo Valente)는 이번 사건이 자가보관이 한 종류의 리스크를 다른 종류의 리스크로 맞바꿨을 뿐임을 보여준다고 지적하며, 소비자들이 사실상 거래상대방 리스크를 “소프트웨어 리스크, 하드웨어 리스크, 공급망 리스크, 피싱 리스크, 백업 리스크, 그리고 실수 한 번으로 모든 것을 잃을 가능성”과 맞바꾼 셈이라고 짚었다. 카사(Casa) CEO 닉 노이먼(Nick Neuman)은 이것이 대중 채택에 어떤 의미인지 더 직설적으로 말했다. “자가보관을 하려고 주사위를 굴리라고 사람들에게 요구할 수는 없습니다. 99%의 사람들에게는 애초에 성립하지 않는 이야기죠.”
일부 업계 관계자들은 이번 사태로 신규 비트코인 투자자들이 하드웨어 지갑보다는 블랙록 IBIT 같은 규제된 커스터디언과 현물 ETF 쪽으로 더 쏠릴 것으로 내다보고 있다. 이는 보유자 스스로 자신의 키를 통제한다는 비트코인의 창립 이념과는 정반대 방향의 흐름이다.
