"인터넷 연결도 안 했는데..." 콜드 월렛 뚫려 1억 3천만 달러 증발한 전말

 

 

비트코인 등 암호화폐 자산을 지키는 가장 안전한 방패로 통하던 '콜드 월렛(Cold Wallet)'의 안전 신화가 무너졌습니다.

인터넷에 단 한 번도 연결된 적 없고, 비밀 키(시드 문구)를 오프라인 금고에만 엄중히 보관해 온 하드웨어 월렛 이용자들의 자산이 무더기로 도난당하는 충격적인 사건이 발생했습니다.

약 1억 3천만 달러(한화 약 1,700억 원 이상)의 자산이 증발한 이번 Coldcard 해킹 사건의 원인과 피해 사실, 그리고 시사점을 정리해 드립니다.

1. 1억 3천만 달러 피해: "금고를 부순 게 아니다"

블록체인 보안 업계에 따르면, 최소 12명 이상의 해커가 Coinkite 사의 인기 하드웨어 월렛 'Coldcard' 사용자들을 표적으로 삼아 비트코인을 빼돌린 것으로 확인되었습니다. 암호화폐 모니터링 업체 Elliptic의 공동 창립자 Tom Robinson 역시 추산 피해액인 1억 3천만 달러가 대체로 부합한다고 밝혔습니다.

조사 기관 Galaxy Research는 이번 사건이 단일 해커 집단의 소행이라기보다는, 복수의 해커들이 동일한 시스템 결함을 독립적으로 발견해 악용한 것으로 보고 있습니다.

2. 뚫린 원인: 시드 문구 생성 알고리즘의 결함

이번 사건이 암호화폐 업계에 거대한 공포를 준 이유는 해커들이 피해자의 물리적 장치를 훔치거나 피싱으로 비밀키를 탈취한 게 아니라는 점입니다.

보안 연구자 "Block"의 분석에 의하면, Coldcard 장치가 오프라인 상태에서 시드 문구를 생성할 때 사용한 코드 자체에 심각한 결함이 존재했습니다.

• 예측 가능한 패턴의 열쇠: 해커들은 시드 문구 생성 알고리즘의 패턴을 역추적하여 피해자들이 가졌을 시드 문구 조합을 무차별 대입(Brute-force)으로 맞혀낼 수 있었습니다.
• 장치 자체의 무결성 붕괴: 피해자들은 장치가 시키는 대로 오프라인에서 시드 문구를 보관했을 뿐이지만, 장치가 처음부터 '예측하기 쉬운 비밀번호'를 만들어준 꼴이 된 것입니다.

3. 피해자의 허탈한 고백

이번 사건으로 약 160만 달러(한화 약 21억 원) 상당의 자산을 잃은 피해자 Jonathan Goodman은 소셜 미디어 X를 통해 다음과 같이 허탈함을 토로했습니다.

"제일 힘든 부분은, 제가 모든 것을 올바르게 했다는 겁니다. 누구와도 시드 문구를 공유하지 않았고, 장치는 인터넷에 연결된 적이 없으며, 모든 것은 여러 개의 금고와 안전 보관함에 보관되어 있었습니다."

"그 모든 관리가 아무 의미가 없었습니다. 2021년 코드 한 줄에 존재했던 취약점 때문이었습니다."

4. 제조사 Coinkite의 대응 및 현황

제조사인 Coinkite는 뒤늦게 긴급 권고문을 발표하고 사용자들에게 다음 조치를 강하게 권고했습니다.

1. 지갑 펌웨어를 즉시 최신 버전으로 업데이트할 것
2. 새로운 시드 문구를 생성하여 자산을 완전히 이체(마이그레이션)할 것

블록체인 분석 업체 TRM Labs에 따르면, 올해 암호화폐 관련 해킹 사건은 200건을 넘어서며 총 피해액이 9억 5천만 달러를 돌파했습니다. 이번 Coldcard 사건은 그중에서도 "인터넷과 단절(Air-gapped)되어 있으면 무조건 안전하다"는 암호화폐 시장의 통념을 완전히 깨트린 사건으로 기록될 전망입니다.

💡 마무리하며: 안전의 전제가 바뀐 콜드 월렛

콜드 월렛의 핵심 전제는 "외부 침입 통로(공격 표면)를 줄이면 안전하다"는 것이었습니다.

하지만 이번 사건은 아무리 시드 문구를 오프라인에 꽁꽁 묶어두더라도, 그 문구가 '어떤 코드와 방식으로 만들어졌는지'까지 검증되지 않는다면 안전할 수 없다는 냉혹한 현실을 일깨워줍니다. Coldcard 사용자라면 지금 즉시 펌웨어 업데이트 및 자산 이동 조치를 취해야 합니다.