콜드카드 하드웨어 지갑의 결함으로 공격자들이 1,596 BTC 이상, 미화 1억 달러가 넘는 금액을 탈취했다. 이번 사건은 개인키를 안전하게 보호하기 위해 만들어진 장치 안에서조차 개인키 생성 과정이 얼마나 취약할 수 있는지를 여실히 드러냈다.
실제로 무슨 일이 있었나
콜드카드를 만드는 코인카이트(Coinkite)는 2026년 7월 31일 엔트로피 생성 결함을 공개했다고 코인텔레그래프가 전했다. 갤럭시 디지털(Galaxy Digital) 연구진에 따르면 공격자들은 이 결함을 이용한 조직적인 공격으로 1,596 BTC 이상, 최소 1억 달러 상당을 탈취했다. 코인카이트는 펌웨어 수정판을 배포했으며 영향을 받은 사용자들에게 새로 생성한 지갑으로 자산을 이전하라고 안내했다. 코어 라이트닝(Core Lightning) 개발자 더스틴 데트머(Dustin Dettmer)는 이 버그가 2021년 펌웨어 변경에서 시작된 것으로 추정하는데, 당시 변경으로 하드웨어 난수 생성기가 비활성화되면서 지갑이 더 취약한 마이크로파이썬(MicroPython)의 야스마랑(Yasmarang) 유사난수 생성기에 의존하게 됐다는 것이다. 코인카이트는 이 정확한 경위를 확인하지는 않았지만, 회사 대변인은 코인텔레그래프에 특정 펌웨어 버전에서 시드 생성 시 대체 경로(fallback path)가 존재해 기기 자체에서 약한 엔트로피가 생성될 수 있었다고 밝혔다. 주사위 굴리기 등 수동으로 엔트로피를 생성한 방식을 사용한 기기는 영향을 받지 않았다.
어떻게 이런 일이 벌어졌나
모든 비트코인 지갑은 무작위 데이터 풀에서 생성된 시드 문구에서 출발한다. 엔트로피는 이 데이터가 얼마나 예측 불가능한지를 나타내는 척도다. 엔트로피가 약해지면 공격자는 가능한 개인키의 범위를 좁혀나가 결국 이를 재현해낼 수 있다. 파운데이션(Foundation) CEO 잭 허버트(Zach Herbert)에 따르면 이 결함은 5년 넘게 발견되지 않은 채 방치돼 있었다. 약한 난수 생성 문제는 새로운 일이 아니다. 비트코인 보안 전문가 제임슨 롭(Jameson Lopp)은 블록체인닷컴(Blockchain.com)의 안드로이드 지갑, 트러스트 월렛(Trust Wallet) 등 과거 지갑과 라이브러리에서도 유사한 결함을 확인한 바 있다고 밝혔다. 렛저(Ledger), 트레저(Trezor), 파운데이션은 각기 다른 엔트로피 전략을 사용한다. 인증된 보안 하드웨어를 쓰는 곳도 있고, 여러 독립적인 소스를 결합하는 곳도 있지만, 어느 방식도 단일 실패 지점이 발생하지 않는다고 완전히 보장하지는 못한다.
당신에게 중요한 이유
콜드카드 사용자라면 우선 영향을 받은 펌웨어에서 생성된 지갑에 대해 코인카이트가 안내하는 이전 절차를 따르는 것이 급선무다. 업계 전반으로 보면, 이번 사건은 크라켄(Kraken) 최고보안책임자 닉 퍼코코(Nick Percoco)가 제안한 것과 같은 더 강력하고 검증 가능한 엔트로피 표준으로 제조사들을 밀어붙이는 계기가 되고 있다. 개발사들은 파운데이션의 오픈소스 모델을 따라 재현 가능한 펌웨어를 공개하거나 제3자 감사를 받아야 한다는 압박에 직면할 수 있다. 일반 사용자 입장에서는 이번 사건이 자가 보관(self-custody)에 내재한 더 큰 트레이드오프를 보여준다. 하드웨어 지갑은 단 한 번의 시드 생성 이벤트에 위험을 집중시키는 반면, bonuz를 포함한 MPC 기반 지갑 같은 대안 모델은 개인키를 네트워크 전체에 분산시켜 시드 문구를 저장하는 대신 소셜 로그인으로 접근하도록 한다.
더 큰 질문
무작위성을 생성하기 위해 특별히 만들어진 장치 안에서조차 이것이 조용히 실패할 수 있다면, 인생을 바꿀 만한 금액을 어떤 지갑에 맡기기 전에 얼마만큼의 검증이면 충분한 걸까? 업계는 모든 펌웨어 버전에 대해 제3자 인증을 요구해야 할까, 아니면 보안은 결국 사용자가 그 과정을 직접 이해하는 데 달려 있는 걸까? 콜드카드 사건은 이 질문에 답을 주지 않는다. 다만 이런 질문을 던지는 사람이 얼마나 드문지를 보여줄 뿐이다.
앞으로 지켜볼 것들
코인카이트는 이 결함에 대한 상세 기술 사후 분석 보고서를 곧 발표할 계획이라고 밝혔지만, 정확한 발표 시점은 아직 공개되지 않았다. 영향을 받은 펌웨어에서 지갑을 생성한 콜드카드 사용자들은 코인카이트가 직접 안내할 이전 절차를 주시해야 한다. 닉 퍼코코가 제안한, 엔트로피 검증과 펌웨어 인증을 포함하는 업계 보증 표준은 아직 공식 규정이 아니라 논의 단계에 머물러 있다. 앞으로 몇 달간 렛저, 트레저, 파운데이션의 엔트로피 관행에 대한 추가적인 검증이 이어질 것으로 보인다.
