지난 7월 말부터 수천 개 주소에서 비트코인을 빼돌린 콜드카드(Coldcard) 하드웨어 지갑 취약점 사건과 관련해, FBI가 1차 공격 파동의 배후 인물을 특정했을 가능성이 제기됐다. 1차 파동에서만 약 1,082.65 BTC, 당시 시세로 약 1,180만 달러 상당이 도난당했으며, 갤럭시 리서치(Galaxy Research)가 집계한 4차례 공격 전체 피해 규모는 5,200개 넘는 주소에서 약 1,816 BTC, 약 1억 1,600만 달러에 달한다.
이번 취약점은 코인카이트(Coinkite)가 2021년 3월 콜드카드 기기에 배포한 4.0.1 펌웨어 업데이트로 거슬러 올라간다. 이 업데이트가 지갑의 시드 문구 생성 방식을 바꿔놓았다. TRM 랩스(TRM Labs)가 발표한 연구에 따르면, 문제의 코드는 난수 생성을 기기 전용 하드웨어 난수 생성기 대신 소프트웨어 기반 의사난수 생성기로 우회시켰고, 이 때문에 도난이 발각되기 몇 년 전부터 해당 지갑들의 개인키를 뒷받침하는 엔트로피가 약화된 상태였다.
자금 추적 방식
블록(Block)과 갤럭시 리서치가 각각 진행한 조사에 따르면, 1차 파동 배후 공격자는 탈취 자금을 옮기는 과정에서 주요 블록체인 데이터 제공업체의 유료 계정을 이용했고, 해당 업체의 내부 로그가 공격자의 온체인 활동 패턴과 놀라울 만큼 정확하게 일치한 것으로 나타났다. 수사당국이 용의자 특정에 근접하게 된 배경도 바로 이 일치라는 게 관련 조사의 설명이다. 다만 FBI는 아직 공식적으로 신원을 확인하거나 기소 사실을 발표하지는 않았다.
같이 보면 좋은 기사: 1억 6,500만 달러 암호화폐 폰지 사기 혐의, 조지아 남성 피지서 추방
공격자는 한 명이 아닐 수도
트랜잭션 패턴 분석에 따르면 4차례에 걸친 공격 파동 전체에는 한 명이 아니라 여러 명의 공격자가 관여했을 가능성이 있다. 1차 파동의 배후를 특정한다고 해서 사건 전체가 풀리는 것은 아니라는 뜻이다. 수사당국은 전체 피해액의 대부분을 차지하는 이후 파동들의 자금 흐름도 계속 추적하고 있다.
수년간 잠복할 수 있는 셀프커스터디 버그의 경고
2021년의 결함 있는 펌웨어 업데이트와 2026년 중반 실제 악용 사이에는 5년의 간극이 있다. 이는 하드웨어 지갑 특유의 위험을 보여준다. 감사를 거쳤다고 여겨지며 널리 신뢰받는 기기 안에도, 미묘한 난수 버그가 실제로 대규모 공격에 악용되기 전까지 몇 년씩 발각되지 않은 채 남아 있을 수 있다는 것이다. 셀프커스터디 이용자들에게 이번 사건은 하드웨어 지갑 펌웨어 업데이트가 배포 전에 얼마나 철저히 검토되는지, 취약점이 발견된 뒤 얼마나 신속하게 공개되는지를 다시 살펴보게 만드는 계기가 될 것으로 보인다.
