콜드카드 펌웨어 취약점으로 1,140억원 피해…에어갭 지갑의 한계

에어갭 지갑은 Wi-Fi, 블루투스, NFC를 포함한 모든 무선 통신과 인터넷으로부터 물리적으로 단절된 비수탁형 하드웨어 지갑이다. 개인키가 온라인 환경에 노출되지 않기 때문에 악성코드나 원격 해킹 공격의 공격 표면이 극히 작다는 것이 가장 큰 장점이다. 대표적인 제조사로는 QR코드 기반의 ELLIPAL, Keystone, Foundation Devices(패스포트), Blockstream(제이드), 그리고 콜드카드를 만드는 코인카이트 등이 있다. 반면 Ledger나 Trezor는 USB·블루투스를 통해 연결하는 방식이라 엄밀한 의미의 에어갭 지갑에는 해당하지 않는다. 2017년 출시된 콜드카드는 마이크로SD 카드와 QR코드를 이용한 오프라인 서명을 지원하며, 비트코인 하드웨어 지갑 중 가장 보안에 중점을 둔 제품으로 오랫동안 평가받아 왔다. 그러나 2026년 7월 말, 제조사 코인카이트는 2021년 3월에 도입된 펌웨어 빌드 오류로 인해 일부 콜드카드 기기가 설계 의도보다 훨씬 작은 풀에서 시드 구문을 생성했다는 사실을 공개했다. 이는 개인키 보호에 필요한 무작위성이 크게 감소했음을 의미하며, 공격자가 AI나 전용 소프트웨어를 이용해 훨씬 빠르게 개인키를 추측할 수 있는 상황이 됐다. 갤럭시 리서치는 이번 콜드카드 익스플로잇이 복수의 파동으로 전개됐다고 분석했다. 관측된 피해액은 약 8,800만 달러에서 수일 만에 거의 1억 1,400만 달러의 비트코인 손실로 불어났다. 연구진의 경고 이후 많은 콜드카드 사용자들이 기존 주소에서 비트코인을 이전했지만, 취약한 주소가 추가로 표적이 될 수 있다는 우려는 여전히 남아 있다. 이번 사건은 에어갭 방식 자체의 한계보다는 하드웨어 지갑이라는 제품에 내재된 공급망 리스크를 부각시킨다. 지갑이 인터넷에 연결되지 않더라도 사용자는 결국 제조사의 펌웨어 품질, 난수 생성 로직, 소프트웨어 개발 관행에 신뢰를 맡기게 된다. 에어갭은 중요한 방어 레이어이지만, 기기가 취약점에서 완전히 자유롭다는 보증은 아니다. 보안 전문가들은 암호화폐 보유자가 단일 실패 지점을 피할 것, 즉 모든 자산을 한 곳에 보관하지 말 것을 거듭 강조하고 있다. 또한 복구 구문을 안전하게 보관하고, 서명 전 거래 내역을 반드시 검증하며, 물리적 기기 보안에도 주의를 기울여야 한다는 기본 원칙을 다시금 상기시키고 있다.