콜드카드 하드웨어 지갑에서 발견된 치명적 결함으로 인한 금전적 피해가 초기 추산치의 거의 두 배로 불어났다. 갤럭시 리서치는 현재 총 손실 규모를 1,082.65 BTC — 약 7,020만 달러 — 로 집계하고 있으며, 이는 1,196개 주소에서 빠져나간 금액이다. 도난은 7월 30일 단 41분이라는 짧은 시간 동안 벌어졌고, 이 소식에 바이낸스 창업자 창펑 자오(CZ)는 어떤 보관 방식도 완전히 안전하지는 않다는 공개 경고를 내놓았다.
CZ로 널리 알려진 자오는 X에 올린 글에서 자금을 한 기기에 몰아두지 말고 여러 지갑에 분산해 보관하라고 촉구했다.
완벽한 건 없다
그는 이렇게 적으며, 이미 검증된 하드웨어 지갑조차 아직 발견되지 않은 버그를 품고 있을 수 있고 완전히 허점 없는 구성이란 존재하지 않는다는 점을 인정했다.
결함의 근원
이번 사태의 근본 원인은 콜드카드 제조사인 코인카이트가 2021년 3월 배포한 펌웨어 빌드의 오류로 거슬러 올라간다. 영향을 받은 기기들은 전용 하드웨어 난수 생성기 대신 소프트웨어 폴백을 통해 개인키 시드를 생성했고, 그 결과로 만들어진 키는 예측 가능성이 훨씬 높아져 결국 이 약점을 파악한 공격자들이 뚫어낼 수 있는 수준이 됐다.
같이 보면 좋은 기사: 콜드카드 해커, 유료 블록체인 조회 서비스로 피해자 추적한 듯
초기 추산치는 크게 빗나갔다
해킹이 처음 알려졌을 당시 연구자들은 피해 규모를 약 594 BTC, 약 3,800만 달러, 500개 지갑 정도로 추산했다. 갤럭시 리서치의 최신 집계는 비트코인 피해액과 영향받은 주소 수 모두를 두 배 넘게 끌어올렸고, 이는 취약점의 실제 파급 범위가 처음 파악됐던 것보다 훨씬 넓었음을 보여준다.
공격의 흔적을 추적한 포렌식 분석
갤럭시 리서치는 여러 뚜렷한 온체인 패턴을 통해 이번 사건이 조직적으로 이뤄진 절도임을 확인했다. 모든 인출 거래에서 동일하게 하드코딩된 수수료, 잔돈 출력(체인지 아웃풋)의 부재, 그리고 최신 세그윗 주소와 구형 주소 형식을 모두 아우르는 여러 키 파생 경로에 대한 체계적인 스캔이 그 근거다. 도난당한 비트코인은 인출 직후 몇 분 안에 한곳으로 모아졌지만 이후로는 움직임이 없는 상태다. 공격자가 자금을 옮기거나 현금화하기 전 시점을 재고 있을 가능성을 시사한다.
코인카이트의 대응
코인카이트는 긴급 펌웨어 패치를 배포했으며, 취약한 빌드를 사용 중일 수 있는 고객들에게 가능한 한 빨리 새로 생성한 시드로 자금을 옮길 것을 권고하고 있다. 이번 사태는 자기 보관형 지갑이 비트코인을 장기적으로 안전하게 보관하는 가장 확실한 방법이라고 계속 홍보되는 와중에도, 하드웨어·소프트웨어 지갑의 취약점이 주기적으로 업계의 신뢰를 흔들어온 일련의 사건 목록에 또 하나를 더했다.
