콜드카드 하드웨어 지갑의 펌웨어 취약점으로 약 7000만 달러 규모 손실이 발생하자, 바이낸스 창립자 창펑 자오(CZ)가 비트코인 보유자들에게 코인 보관 방식을 다시 생각해볼 것을 촉구하고 나섰다. 갤럭시 리서치 조사 결과, 지난 7월 30일 약 41분 동안 1,196개 주소에서 1,082.65 BTC가 빠져나간 것으로 확인됐다. 이는 앞서 25분 동안 약 500개 지갑에서 594 BTC(약 3800만 달러)가 유출됐다는 초기 추산보다 훨씬 늘어난 규모다.
CZ는 소셜미디어에 "하드웨어 지갑도 버그가 있을 수 있다. 오래되고 이력이 긴 지갑조차 버그를 가질 수 있다"며 "어떻게 대응해야 할까? 자금을 몇 개 지갑에 나눠 보관하는 것도 방법일 수 있다"고 적었다.
완벽한 해법은 없다는 CZ의 단서
다만 CZ는 지갑을 여러 개로 나누는 방식이 만병통치약은 아니라는 점도 분명히 했다. 관리해야 할 주소가 늘어나고 사용자 실수가 발생할 여지도 그만큼 커지는, "또 다른 종류의 리스크"가 따른다는 것이다. 그는 "100% 안전한 것은 없다"고 덧붙이면서, 바이낸스가 오랫동안 써온 구호인 "Stay SAFU!"로 글을 마무리했다.
손실을 부른 결함
이번 사태의 근본 원인은 2021년 3월 도입된 펌웨어 결함으로 거슬러 올라간다. 일부 콜드카드 모델에서 시드 생성 과정의 무작위성이 훼손된 것이다. 공격자는 피해자 기기에 물리적으로 접근할 필요 없이, 이 취약한 무작위성 패턴을 파악한 뒤 오프라인 상태에서 개인 키를 재구성할 수 있었다.
콜드카드 제조사 코인카이트는 이 버그를 인정하고 긴급 펌웨어 업데이트를 배포했다. 다만 업데이트만으로는 결함이 수정되기 전에 생성된 시드에 연결된 자금이 안전해진다고 볼 수 없다며, 영향을 받은 이용자들에게 패치된 기기에서 완전히 새로운 시드를 생성하라고 안내하고 있다.
셀프커스터디에도 리스크가 있다는 사실을 다시 일깨우다
피해를 입은 지갑 중 상당수는 몇 년 동안 손대지 않고 그대로 보관돼 있던 것들이었다. 이런 점 때문에 아무리 검증된 하드웨어라 해도 단 하나의 기기에 얼마나 신뢰를 실어야 하는지를 둘러싼 논쟁이 다시 불붙었다. CZ가 제시한 분산 보관 조언은 그동안 거래소 커스터디를 둘러싸고 반복돼온 조언과 닮아 있는데, 이제는 그 논리가 셀프커스터디 영역에도 똑같이 적용되고 있는 셈이다.
