비트코인(BTC) 1,000개 이상이 단 41분 만에 탈취되며 하드웨어 지갑 ‘콜드카드’의 심각한 취약성이 드러났다. 7월 30일(UTC 기준) 01시10분부터 01시51분 사이, 총 1,082.65 BTC가 6개 블록에 걸쳐 1,196개 지갑에서 유출됐으며, 금전적 피해는 약 7,000만 달러, 한화로 약 1,011억 원에 달한다. 초기 보고서보다 피해 규모가 두 배 이상 증가한 이유는 탈취 자금이 4개의 주소로 분산됐기 때문이다. 현재까지 해당 자금은 이동하지 않은 상태로, 조사 당국의 추적이 이루어지고 있다.
이번 사건의 중요한 점은 단순한 규모뿐만 아니라, 공격 방식에서도 전문가들의 경고가 이어지고 있다는 점이다. 갤럭시 리서치에 따르면, 의심되는 거래는 연속성이 없고, 다양한 주소 포맷이 동시에 사용된 점이 특징이다. 이는 특정 사용자를 겨냥한 해킹이 아니며, 시스템적 탐색 공격으로 분석된다.
콜드카드의 보안 전제가 흔들린 이번 사건은 많은 이들에게 충격을 주고 있다. 암호화폐 탈취는 보통 거래소 해킹이나 피싱 등의 접근을 통한 방법으로 이루어진다. 그러나 하드웨어 지갑은 인터넷과 분리된 구조 속에서 물리적 접근이 없다면 안전하다는 신뢰가 있었다. 문제가 된 점은 콜드카드 지갑의 난수 생성 과정이다. 예상되지 않은 값을 생성해야 하는 원칙이 내부 설정 오류로 인해 무시되었고, 이 때문에 사용된 방식은 단순한 소프트웨어적 접근으로, 개인키 생성 가능 범위를 사실상 무한대에서 유한한 수로 제한했다. 특히 일부 모델에서는 예상하기 어려운 약 40억 개 수준으로 축소된 것으로 분석되어, 컴퓨터로는 쉽게 계산할 수 있는 범주가 되었다.
해커는 이렇게 가능한 시드값을 대량으로 생성한 뒤, 블록체인 상에서 주소를 대조해 자금을 식별해냈다. 이 과정은 피해자의 기기와 완전히 무관하게 이루어질 수 있어, 심지어 지갑이 전원이 꺼진 상태로 금고에 보관되어 있어도 공격이 가능하다. 갤럭시 리서치는 이번 사건이 무작위 공격이 아닌 반복 가능한 구조적 문제라면서, 추가적인 피해 가능성을 경고하고 있다.
더욱이 사용자가 자신의 지갑이 취약한지를 확인할 방법이 없다는 점도 큰 문제로 지적된다. 특정 시드가 취약 범위에 포함되는지를 검증하는 것이 불가능하며, 해당 펌웨어를 사용한 경우에는 최악의 상황을 대비해야 한다. 콜드카드 제조사인 코인카이트는 일부 모델에 대해 경고를 발표했으나, 블록 측 보고서는 더 많은 모델에 영향을 미치는 것으로 확대되어 논란이 되고 있다. 해커가 사용한 트랙킹 정보 또한 타당성을 인정받으며 현재 당국에 전달되었다.
이번 사건은 ‘콜드 스토리지’라는 관념 자체를 흔들 수 있는 사건으로 분석되고 있다. 그동안 보안의 기본 전제는 “키에 접근할 수 없으면 안전하다”는 것이었지만, 이제는 “키를 예측할 수 있는가”가 중요한 문제로 부각됐다. AI 기술의 발전 또한 변수로 작용하고 있으며, 최근 앤트로픽의 연구에 따르면 자사 모델이 차세대 암호 알고리즘의 보안을 60시간 만에 절반으로 낮추었다고 발표했다.
결국, 암호화폐 보안은 기존의 보관 방식뿐 아니라 생성 단계에서도 취약한 부분이 큼을 시사한다. 이번 비트코인 탈취 사건은 그러한 전환점을 드러낸 사례로 평가받고 있다. 따라서 하드웨어 지갑을 선택할 때에는 그 펌웨어 및 난수 생성 방식을 친밀하게 검토해야 하며, 기존 지갑 사용자들은 신규 시드로 즉시 마이그레이션을 고려해야 한다. 또한 장기 보관 전략에서도 생성 과정의 리스크를 포함한 보안 점검이 필수적이다.
