최근 콜드카드(Coldcard) 하드웨어 지갑의 보안 결함이 발견되면서, 약 1억 달러(약 1,425억 원) 규모의 비트코인(BTC) 1,600개가 해킹당하는 사건이 발생했다. 사건은 프랑스 파리에서 열린 결혼식에 참석 중이던 스완(Swan) CEO 코리 클립스텐(Cory Klippsten)에게 긴급하게 보고되었다. 이는 다수의 사용자들이 보관하던 자금이 한꺼번에 빠져나간 것으로, 지난주 목요일쯤 시작된 것으로 전해진다.
문제의 핵심은 2021년 3월에 배포된 콜드카드의 오래된 펌웨어 업데이트의 보안 결함이었다. 이 결함으로 인해 일부 사용자 지갑의 프라이빗 키 보안 수준이 현격히 저하되었고, 이 문제는 5년 동안이나 잠재적으로 존재해 왔다. 갤럭시 리서치에 따르면, 해킹은 총 세 차례에 걸쳐 이루어졌으며, 약 7,300개의 주소에서 자금이 유출된 것으로 드러났다.
이 사건에 즉각 반응한 스완은 위험 가능성이 있는 계정의 출금을 일시 중단하고, 사용자에게 경고 메시지를 발송하는 한편, 마이그레이션 지원을 확대했다. 클립스텐 CEO는 “모든 직원이 업무를 중단하고 고객들에게 즉각적으로 연락했으며, 스완의 사용자뿐만 아니라 도움이 필요한 모든 이에게 지원을 아끼지 않았다”고 강조했다.
일주일이 지난 현재, 해킹으로 탈취된 자금의 약 90%가 아직 온체인에서 이동되지 않은 것으로 확인되었으며, 해킹을 감행한 공격자의 주소는 미국 연방 수사당국에 전달됐다. 캐나다의 코인카이트(Coinkite)사는 영향을 받은 모든 기기에 대한 패치를 완료했고, 오픈소스 보안 단체 오픈새츠(OpenSats)도 취약점이 콜드카드에 국한된 것임을 확인했다.
이번 사건은 자기 보관(self-custody) 방식에 대한 불안감을 야기하고 있으며, 일부에서는 개인 지갑 대신 ETF와 같은 간접 투자 방법을 고려해야 한다고 주장하기도 했다. 그러나 클립스텐 CEO는 “사용자들이 자기 보관을 포기하기보다는 접근을 더욱 어렵게 만드는 방향으로 나아가고 있다”고 말하며, 다중서명 기반의 보관 서비스인 스완 볼트(Swan Vault)로 자금을 이동하는 사례도 증가하고 있다고 덧붙였다. 이 방식은 단일 기기만으로는 자산에 접근할 수 없도록 설계되어 보안성을 크게 향상시킨다.
클립스텐은 이번 사건을 “고통스럽지만 전환점이 될 사건”으로 간주하며, 비트코인의 ‘반취약적’ 특성과 함께 기술의 발전을 기대하는 목소리를 냈다. 그는 “다수의 사용자가 업계의 권고사항을 따랐음에도 피해를 입은 것은 안타깝지만, 이러한 사건이 오히려 자기 보관 기술을 개선하는 기회가 될 수 있다”고 강조했다.
결국 이번 사건을 통해 하드웨어 지갑조차도 완벽하지 않다는 점이 드러났으며, 장기 보유자들에게 보안 업데이트의 중요성을 다시 한 번 상기시켰다. 자금의 90%가 아직 이동되지 않았고, 취약점이 특정 제품에 국한되어 있어 시스템 전체의 붕괴로 해석되지 않는 점에서 반전의 여지가 있다. 이와 함께 단일 지갑이나 단일 키에 의존하는 구조는 리스크가 크므로 멀티시그 도입이 더욱 중요한 대안으로 떠오르고 있다.
