비트코인 역사상 손꼽히는 자가보관 보안 실패 사례인 콜드카드 하드웨어 지갑 익스플로잇을 둘러싼 신규 피해자 데이터가 속속 드러나고 있다. 갤럭시 리서치의 애널리스트 알렉스 손은 피해를 입은 이용자 250명의 신고 내역을 검토한 결과, 피해자 1인당 중간값 손실이 1.022 BTC로 나타났다고 밝혔다. 평균 손실액은 이보다 훨씬 높은 4.04 BTC였는데, 이 격차는 소수의 대형 보유자가 피해 규모의 상당 부분을 떠안았다는 뜻으로 풀이된다. 피해자가 아니라 주소 단위로 놓고 보면 중간값 손실은 0.014 BTC로 줄어들지만 평균은 0.212 BTC이며, 적어도 한 주소는 최대 58.97 BTC를 잃은 것으로 나타났다.
이번 익스플로잇으로 확인된 피해액은 현재 1억 1,100만 달러에 달하지만, 비트코인 매거진은 실제 규모가 이보다 더 클 가능성이 높으며 피해 주소가 모두 파악되면 최종적으로 1억 3,000만 달러를 넘어설 수도 있다고 보도했다. 사태는 지난주 목요일 3,500만 달러 규모의 초기 탈취로 시작됐고, 이후 주말 내내 파상적으로 이어졌다.
2021년으로 거슬러 올라가는 펌웨어 결함
이번 익스플로잇의 근본 원인은 2021년 3월 출시된 4.0.1 버전 이후 펌웨어를 사용하는 콜드카드 Mk3 기기의 결함에 있다. 문제의 기기들은 시드 문구를 생성할 때 기기 내장 하드웨어 난수 생성기를 쓰는 대신, 자신도 모르게 더 취약한 소프트웨어 기반 유사난수 생성기로 대체돼 작동했다. 이 취약점 때문에 공격자는 오프라인 하드웨어 키 보관이라는 본래 목적 자체를 무력화시키며 피해자의 시드 문구를 통째로 추측해낼 수 있었다. 특히 눈에 띄는 대목은 탈취된 코인의 보유 기간 중간값이 3.5년이었고, 피해 자금의 88%가 최소 1년 이상 손대지 않은 채 그대로 있었다는 점이다. 이는 다수의 피해자가 콜드카드를 수시로 점검할 필요 없는 영구적인 저비용 금고쯤으로 여겨온 장기 보유자였음을 보여준다.
콜드카드를 만든 코인카이트는 이 결함이 “아무도 모르게 지나쳤고”, 이후 해당 펌웨어를 채택한 이용자가 늘어날수록 “잠재적 영향력도 계속 커져왔다”고 인정했다. 회사는 남아 있는 이용자들에게 즉시 소프트웨어를 업데이트하거나 새로 생성한 주소로 자금을 옮기라고 촉구했다.
역대 최악의 하드웨어 지갑 사고
블록체인 분석업체 TRM랩스는 이번 사태를 2026년 최대 규모의 하드웨어 지갑 익스플로잇으로 규정했다. 공격자는 익스플로잇이 시작된 이후 네 차례에 걸쳐 5,200개가 넘는 피해 주소에서 약 1,816 BTC를 빼돌린 것으로 파악됐다. 이는 올해 발생한 크립토 해킹 사고 전체를 놓고 봐도 상위권에 드는 규모로, 몇 건의 더 큰 사고를 제외하면 최대급이다. 같은 기간 2026년 한 해 해킹으로 인한 크립토 전체 손실액은 이미 276건의 개별 사고에 걸쳐 12억 달러를 넘어선 상태다. 참고로 같은 기간 발생한 약 24건의 DeFi 프로토콜 익스플로잇 피해액을 모두 합쳐도 1억 3,220만 달러 수준이었으니, 하드웨어 지갑 결함 하나가 DeFi 해킹 한 달치를 합친 것보다 더 큰 피해를 낸 셈이다.
같이 보면 좋은 기사: 코인카이트, 콜드카드 해킹 사후 보고서 예고…피해액 추정은 유보
이번 사태는 하드웨어 지갑 제조사들이 펌웨어 업데이트와 난수 생성을 어떻게 다뤄왔는지에 대한 감시를 다시 불러일으킬 가능성이 크다. 이 제품군은 오랫동안 바로 이런 종류의 손실을 피할 수 있는 가장 안전한 방법이라며 비트코인 보유자들에게 마케팅되어 왔기 때문이다.
