최근 ‘콜드카드’라는 하드웨어 지갑에서 심각한 보안 취약점이 발견되어, 대규모 비트코인 유출 사태가 발생했다. 이 사건으로 인해 업계에서는 자산 관리를 재조명하게 되었으며, 바이낸스의 창립자 창펑 자오(CZ)는 자산을 여러 지갑에 분산하여 보관하는 방법이 해결책이 될 수 있다고 언급했다.
이번 보안 결함은 2021년 3월에 도입된 펌웨어에 기인한 것이며, 특정 콜드카드 기기에서 복구 시드 생성 과정에서 사용되는 난수의 품질이 약화되었다. 이는 공격자가 오프라인 환경에서 개인키를 재구성할 수 있는 가능성을 열어줬고, 이렇게 되면 물리적인 접근 없이도 자금을 탈취할 수 있게 되었다.
온체인 분석 결과에 따르면, 지난 7월 30일 동안 약 25분 동안 500개의 지갑에서 총 594개의 비트코인이 이동한 것으로 나타났으며, 이는 당시 기준으로 약 3,800만 달러, 한화로는 약 549억 원에 달하는 금액에 해당한다. 이후 갤럭시 리서치의 추가적인 분석에서는 총 1,082.65 비트코인(BTC), 약 7,000만 달러(약 1,012억 원)가 1,196개의 주소에서 유출된 것으로 집계되며 피해 규모가 더 커졌음을 알렸다. 특히 이와 같은 피해를 입은 지갑의 상당수가 오랜 시간 동안 휴면 상태였다는 점이 주목받고 있다.
콜드카드를 제조하는 코인카이트는 이 버그를 공식적으로 인정하고, 즉각적인 펌웨어의 긴급 업데이트를 배포했다. 그러나 단순한 업데이트만으로는 기존에 취약한 시드가 안전해지지 않는다고 경고했다. 따라서 문제의 버전에서 생성된 시드를 사용하는 경우, 새로운 시드를 생성하고 자산을 새로운 지갑으로 이전해야 한다고 안내하고 있다.
CZ는 자신의 소셜미디어를 통해 “하드웨어 지갑도 완벽하지 않다”며 높은 보안을 제공하는 장치조차 어떤 형태로든 버그가 존재할 수 있음을 지적했다. 그는 또한 “자산을 여러 지갑에 나누는 것도 한 방법이지만, 이것 또한 관리의 복잡성을 증가시켜 새로운 위험을 초래할 수 있다”고 덧붙였다.
이 사건은 ‘셀프 커스터디(자기 보관)’의 한계를 다시 한번 부각시키고 있으며, 하드웨어 지갑이 오프라인 보관 방식으로 높은 보안을 제공해왔으나, 이와 같은 숨겨진 취약점이 존재할 수 있음을 분명히 보여준다. 결과적으로 보안 관리는 단일 수단이 아닌 ‘분산과 지속적인 점검’의 원칙에 따라 이루어져야 한다는 교훈을 남기고 있다.
이번 사건에서의 교훈은 다음과 같다. 단일 지갑에 집중하여 자산을 보관하는 것보다는 여러 지갑에 분산하여 보관함으로써 단일 장애의 위험을 줄여야 하며, 취약한 버전을 사용하는 경우는 신속히 새로운 시드를 생성하고 자산 이전을 반드시 진행해야 한다. 지갑 및 펌웨어에 대한 정기적인 점검과 공급사의 공지 모니터링도 필수적이다. 마지막으로, 시드 문구와 복구 리허설을 포함하는 백업 관리 체계를 구축하여 운영 리스크를 완화하는 것이 바람직하다.
