최근 비트코인 하드웨어 지갑인 콜드카드에서 심각한 보안 취약점이 발견됐다. 해당 취약점을 악용하여 약 594개의 비트코인, 한화로는 약 546억 원에 달하는 자산이 단 25분 안에 유출된 사실이 확인됐다. 이번 공격은 01시 31분부터 01시 56분(UTC) 사이에 발생했으며, 약 500개의 개별 지갑에서 자금이 빠져나갔다. 총 1,324개의 비트코인이 500건의 거래로 나뉘어 이동했지만, 그 중 562 BTC는 여전히 단 하나의 주소에 남아 있는 상태다.
유출된 자산은 모두 ‘단일 서명(single-signature)’ 구조의 지갑에 저장되어 있으며, 각 지갑에는 최소 0.15 BTC 이상이 들어 있는 것으로 확인됐다. 특히 많은 지갑이 수년 동안 활동이 없던 휴면 지갑으로, 2021년부터 2026년 사이에 생성된 코인이 포함되어 있었다. 이는 취약점이 발생했던 시기와 완벽히 일치한다.
콜드카드는 캐나다의 코인카이트가 만든 비트코인 전용 하드웨어 지갑으로, 개인 키를 인터넷과 분리된 환경에서 안전하게 보관할 수 있도록 설계된 장치다. Mk2부터 시작하여 Mk3, Mk4, Q, Mk5 등의 다양한 세대 제품이 출시되었으며, 이번 취약점은 기기를 구매한 시점이 아닌 ‘지갑 생성 당시의 펌웨어 버전’에 따라 영향을 받는다.
핵심 원인은 바로 ‘난수 생성’ 방식의 결함으로, 비트코인 지갑의 보안을 좌우하는 무작위성이 제대로 작동하지 않았다는 것이다. 블록(Block)의 엔지니어링 및 보안팀 보고서에 따르면, 해당 콜드카드의 펌웨어는 내부 하드웨어 난수 생성기를 건너뛰도록 설정되어 있었고, 이로 인해 공격자는 쉽게 예측 가능한 방식으로 키를 생성할 수 있었다. 이러한 변화는 2021년 3월 1일에 커밋되어, 같은 달 배포된 4.0.0 펌웨어에 포함되었음을 확인할 수 있다.
해당 취약점은 단순한 지갑 시드뿐만 아니라, 콜드카드의 종이 지갑 개인 키와 시드 분할 마스크, 기기 복제 키, ‘키 텔레포트(Key Teleport)’ 전송 기능에도 영향을 미치는 것으로 나타났다. 코인카이트는 Mk3 모델에서 4.0.1 이상의 펌웨어로 생성된 시드를 가진 사용자에게 조치를 권장하고 있지만, Mk4, Q, Mk5 모델은 이번 분석에서 영향이 없다고 밝혔다.
대규모 유출에도 불구하고 비트코인 가격은 안정세를 유지하고 있으며, 아시아 초기 거래에서 6만4,000달러 이상의 가격대를 기록하고 있다. 이는 시장에서 이번 사건이 개별 제품의 결함으로 인식되고 있다는 것을 의미한다. 하드웨어 지갑조차도 설계 결함에서 자유롭지 않다는 점이 드러나고, 장기 보관 자산의 보안 전략을 재점검할 필요성이 커지고 있다.
이번 사건은 하드웨어 지갑 선택 시 단순히 하드웨어 여부보다는 난수 생성 방식과 펌웨어 검증 체계의 중요성을 다시 한 번 일깨워 주고 있다. 특히 단일 서명 지갑보다 멀티시그(Multi-Sig) 구조를 도입할 경우 리스크를 분산하는 데 유리하다는 점도 염두에 두어야 한다. 기존 보유 자산 또한 생성 시점의 펌웨어 버전 기준으로 재검증할 필요가 있으며, 장기간 미사용 지갑은 주기적으로 확인하거나 새로운 안전한 환경으로 이전하는 것이 바람직하다.
