하드웨어 지갑에 있던 비트코인 1082개가 사라졌다…콜드카드 해킹 사태

기기를 도둑맞은 것도, 비밀번호를 유출당한 것도 아니었다. 그런데도 하드웨어 지갑 안에 있던 비트코인 1082개, 우리 돈으로 약 1000억원어치가 통째로 빠져나갔다. 지난달 30일 벌어진 콜드카드(Coldcard) 지갑 해킹 사태 이야기다.

콜드카드는 개인키를 인터넷과 완전히 분리해 보관하는 하드웨어 지갑으로, 코인을 장기 보유하는 투자자들 사이에서 신뢰도가 높은 제품으로 꼽혀왔다. 그런데 이번 사고는 그 신뢰의 전제를 흔들었다. 갤럭시 리서치 분석에 따르면 문제는 지갑을 만들 때 쓰는 난수 생성 방식에 있었다. 원래는 예측이 불가능한 하드웨어 난수 생성기로 복구 문구(시드)를 만들어야 하는데, 2021년 3월 이후 배포된 특정 펌웨어 버전(4.0.1~5.0.3)에서 소프트웨어 기반의 예측 가능한 방식으로 대체된 것이 확인됐다. 기기의 일련번호나 클록 레지스터처럼 외부에서 추정 가능한 정보를 바탕으로 시드가 만들어졌다는 뜻이다. 공격자는 이 규칙성을 역산해 개인키를 통째로 재구성했다.

더 놀라운 건 공격 방식이다. 해커는 피해자의 기기를 직접 만지지도 않았다. 오프라인 상태에서 예측 가능한 시드값을 계산해낸 뒤, 그렇게 복원한 개인키로 지갑에 접근했다. 실제로 지난달 30일 발생한 공격에서는 단 41분 만에 1196개 지갑에서 자금이 빠져나갔다. 별개로 확인된 또 다른 사고에서는 25분 사이 500여 개의 단일서명 지갑에서 594비트코인, 당시 시세로 약 3800만달러가 인출됐다. 피해를 입은 지갑 대부분은 하나의 개인키만으로 관리되는 단일서명 방식이었고, 0.15비트코인에서 0.26비트코인 사이 소액을 오래 보관해온 휴면 지갑이 많았다는 점도 눈에 띈다.

돈의 흐름을 보면 탈취된 자금 중 상당 부분은 한 곳으로 모였다. 유출된 비트코인 가운데 562개가 단일 주소로 합쳐졌고, 이후 추가 이동은 확인되지 않고 있다. 제조사인 코인카이트는 사고 직후 긴급 펌웨어 업데이트를 배포하고 사용자들에게 복구 문구를 새로 생성해 자금을 안전한 지갑으로 옮기라고 권고했다. 다만 이미 취약한 환경에서 만들어진 시드는 펌웨어를 업데이트한다고 해서 자동으로 안전해지지 않는다는 점이 핵심이다. 시드 자체를 새로 만들고 자산을 새 주소로 이전하지 않으면 여전히 노출된 상태로 남는다.

생활에 미치는 영향은 명확하다. 콜드월렛을 쓴다고 해서 모든 위험에서 자유로운 것은 아니라는 사실이 이번 사고로 드러났다. 실제로 해외에서는 이번 취약점으로 160만달러 규모의 자산을 한 번에 잃은 개인 투자자 사례도 보고됐다. 오랫동안 지갑을 열어보지 않고 방치해둔 사람일수록, 자신이 위험한 펌웨어 버전을 쓰고 있었는지조차 모른 채 자산을 잃을 수 있었던 셈이다.

앞으로 확인해야 할 것은 세 가지다. 먼저 본인이 쓰는 콜드카드 기기가 2021년 3월 이후 배포된 펌웨어(4.0.1~5.0.3) 범위에 해당하는지 점검해야 한다. 두 번째로 해당된다면 지금 즉시 최신 펌웨어로 업데이트한 뒤, 기존 복구 문구를 폐기하고 새 시드로 지갑을 재생성해야 한다. 세 번째로 새로 만든 지갑 주소로 자산을 옮긴 뒤에야 안전하다고 볼 수 있으며, 옮기기 전까지는 소액이라도 예치를 미루는 것이 낫다. 하드웨어 지갑을 쓰고 있다는 사실 자체가 안전을 보장하지 않는다는 점을, 이번 사고가 분명하게 보여줬다.

“손실 나도 세금 낸다?” — 코인 과세, 왜 손실은 인정 안 될까 – 디지털자산인사이트 | Digital Asset Insight