하드웨어 지갑 제조사 코인카이트(Coinkite)가 콜드카드(Coldcard) 기기에 긴급 펌웨어를 배포했다. 연구자들이 암호화폐 역사상 최대 규모의 하드웨어 지갑 익스플로잇이라 부르는 사건이 벌어진 직후다. 공격자들은 5,200개 이상의 주소에서 약 1,816 BTC, 1억 1,600만 달러 이상을 빼돌렸는데, 그 근원은 5년 전인 2021년 3월 배포판까지 거슬러 올라가는 펌웨어 결함이었다.
문제의 버그는 빌드 설정 오류였다. 기기가 전용 하드웨어 엔트로피 소스 대신 취약한 소프트웨어 기반 난수 생성기로 지갑 시드를 만들도록 만든 것이다. TRM Labs가 발표한 조사 결과에 따르면 이 결함으로 인해 원래 128비트로 설계됐던 키의 실질적 강도가 가장 오래된 기기에서는 최소 40비트까지 떨어졌다. 최신 컴퓨팅 파워로 무차별 대입 공격이 가능한 수준이며, 지갑에 물리적으로 접근할 필요조차 없었다. 취약점이 발견되자 공격자들의 움직임은 빨랐다. 첫 번째 공격 물결에서만 1,196개 주소에서 1,082 BTC가 약 41분 만에 빠져나갔다.
이제 모든 신규 시드는 수동 엔트로피가 필수
7월 31일 배포된 코인카이트의 수정판은 시드 난수 생성 과정에서 소프트웨어의 개입을 아예 배제하는 방식으로 허점을 메웠다. 이제 새로운 콜드카드 시드를 만들 때마다 소유자가 직접 엔트로피를 공급해야 한다. 예측 불가능한 간격으로 키를 65회 누르거나, 6면체 주사위를 50회 굴리거나, 동전을 128번 던지는 식이다. 2021년 3월부터 7월 31일 패치 이전 사이에 콜드카드에서 시드를 생성한 사용자라면 해당 시드가 잠재적으로 노출됐다고 간주하고 새로 생성한 시드로 자금을 옮겨야 한다. 결함이 존재했던 5년이라는 기간을 감안하면 실제 영향을 받은 사용자 규모는 지금까지 자금이 빠져나간 약 5,200개 주소보다 훨씬 클 가능성이 크다.
AI 기반 감사 확대라는 더 큰 흐름의 일부
콜드카드 사건은 AI를 활용한 코드 검토로 비트코인 소프트웨어 스택을 강화하려는 광범위한 움직임의 기준점이 됐다. 흔히 비트코인의 '레드팀'이라 불리는 약 25명 규모의 자원봉사 개발자 그룹은 콜드카드 사례에서 얻은 교훈을 바탕으로 생태계 전반의 501개 프로젝트를 스캔했다. 이는 익스플로잇 이후 비트코인 소프트웨어를 AI로부터 방어하려는 자원봉사 활동과 같은 흐름 위에 있는데, 사실 이 활동은 콜드카드 결함의 실제 규모가 완전히 드러나기 전부터 이미 진행 중이었다. 이번 스캔에서 눈에 띄는 발견도 나왔다. 중국에서 개발된 AI 도구들이 일부 서구 AI 도구는 애초에 탐지 대상으로 설정돼 있지 않던 취약점 유형들을 잡아냈다는 것이다. 연구자들은 이 격차가 하드웨어와 소프트웨어 공급망을 업계가 어떻게 점검해야 하는지에 실질적인 시사점을 던진다고 말한다.
같이 보면 좋은 기사: 자원봉사 '레드팀', AI발 위협 앞서 비트코인 소프트웨어 방어 나섰다
콜드카드 사용자들에게 전하는 회사와 외부 연구자들의 메시지는 명확하다. 시드가 언제 생성됐는지 확인하고, 만약 영향받는 기간에 해당한다면 지체 없이 자금을 옮겨야 한다는 것이다.
