비트코인(BTC) ‘콜드카드’ 지갑을 겨냥한 연쇄적인 탈취 공격이 네 번째 파동으로 접어들면서 피해 규모가 빠르게 확대되고 있다. 이번 공격의 특징 중 하나는 거래가 미확정 상태일 때 자산을 되찾을 수 있는 가능성이 있다는 점이다. 약 1,800BTC가 탈취된 상황에서 피해자들은 어떤 대응을 해야 할지 고민하고 있다.
이번 공격은 8월 초 네트워크가 붐비는 시간에 시작되었으며, 공격자들은 갤럭시 리서치의 알렉스 손(Alex Thorn)이 설명하는 바와 같이 ‘RBF(Replace-by-Fee)’ 기능을 사용해 미확정 거래를 더 높은 수수료로 덮어씌우는 방식을 취했다. 이 기능은 비트코인 네트워크에서 사용자가 자신의 주소를 확인할 수 있게 하여, 더 높은 수수료를 지불함으로써 먼저 자산을 이동시킬 수 있는 기회를 제공한다.
공격은 7월 30일부터 전개되어 첫 번째 파동에서만 1,083 비트코인이 탈취되었으며, 추가 공격을 통해 누적 피해액은 약 1,816 비트코인, 즉 약 1억 1,400만 달러로 증가했다. 피해를 입은 주소는 이미 5,200개를 초과했으며, 일부 블록에서는 거래 건수가 평소보다 약 45배 증가하는 기록을 보였다.
이번 사태의 근본 원인은 2021년 3월에 배포된 콜드카드의 펌웨어 취약점이다. 그 당시 일부 버전에서 시드 생성 과정이 하드웨어 난수 생성기가 아닌 예측 가능한 소프트웨어 난수로 처리되는 오류가 발생하여, 이로 인해 생성된 개인키는 외부에서 재현이 가능해졌다. 많은 사용자가 이 취약점을 이용한 오프라인 지갑 복원 공격에 취약해졌다.
콜드카드 제조사인 코인카이트(CoinKite)는 긴급 펌웨어 업데이트를 배포하고 시드 생성 영향을 받은 사용자에게 새로운 지갑으로 자산을 즉시 이동할 것을 권고했다. 분석 결과, 초기 공격 동안 멀티시그(다중 서명) 지갑은 피해를 입지 않았고, 이는 해당 취약점이 단일 시드 기반 지갑에만 한정된다는 점을 보여준다. 또한 이번 공격에서는 자금이 새로운 주소로 분산하여 이전 방식과는 다른 공격 패턴을 나타내고 있다.
알렉스 손은 “현재 미확정 상태의 거래가 많아, 피해 자산을 되찾을 기회가 남아있다”며, 즉시 자산을 점검하고 문제가 있는 지갑은 새로운 주소로 자금을 이동해야 한다고 강조했다. 높은 수수료를 설정하여 기존의 탈취된 거래를 덮어쓰는 것이 가장 효과적인 대응 전략이 될 것이라고 설명했다.
이번 사태는 하드웨어 지갑도 소프트웨어 결함으로 인해 위험에 노출될 수 있음을 상기시키며, 비트코인 네트워크의 거래 대기 상태가 오히려 공격자에게 대항할 수 있는 마지막 방어선으로 작용할 수 있음을 드러낸다. 전문가들은 사용자들이 특히 문제의 시기에 시드를 생성한 경우 즉시 점검하고, 필요한 경우 새로운 지갑과 다중 서명 구조를 도입하는 것이 바람직하다고 조언한다.
