콜드카드 취약점, 1,596 BTC 탈취…비트코인 월가로 돌아가나

콜드카드 하드웨어 지갑의 펌웨어 결함으로 인해 최소 1,596 BTC가 약 7,300개 주소에서 탈취됐다. Galaxy Research는 피해가 세 차례 주요 공격 파동과 14건의 소규모 사건에서 발생했다고 밝혔다. 아직 확인 중인 4차 파동까지 포함하면 피해 규모는 2,055 BTC, 시가 약 1억 3천만 달러에 달할 수 있으나 Galaxy는 추가 피해자 보고를 기다리며 해당 주소를 공식 집계에서 제외하고 있다. 현재까지 최소 73명의 피해자가 Galaxy 리서치 책임자 알렉스 손에게 도움을 요청했으며, 연구진은 최소 15명의 공격자가 이 취약점을 현재도 활용하고 있다고 결론지었다. 취약점의 근원은 2021년 3월로 거슬러 올라가는 펌웨어 코딩 오류다. 일부 기기가 하드웨어 난수 생성기에서 충분한 무작위성을 확보하지 못하고 소프트웨어 방식으로 복구 시드를 생성해, 가능한 조합의 수가 의도보다 훨씬 적어졌다. 이로 인해 공격자는 기기나 복구 단어를 확보하지 않고도 원격으로 개인키를 재구성할 수 있다. 펌웨어 업데이트로 신규 취약 시드 생성은 차단되지만, 이미 결함 있는 방식으로 생성된 복구 문구는 보호되지 않는다. 콜드카드 제조사 코인카이트는 보안 업데이트 설치, 새 시드 생성, 비트코인 이전을 긴급 권고했다. 이번 사태로 비트코인 온체인 활동이 급격히 늘었다. Santiment 데이터에 따르면 지난 7일간 활성 비트코인 주소 수는 71만 2천 개로 3개월 만에 최고치를 기록했고, 10만 달러 이상 거래는 6만 1,800건으로 5개월 최고치에 달했다. 10만 달러 미만 거래량도 2024년 11월 이후 최고 수준인 32억 달러를 기록했다. 비트코인 멤풀 대기 거래 건수도 약 3만 3천 건에서 9만 6천 건으로 급증해 6월 20일 이후 최고치를 나타냈다. 자금 이동의 일부는 거래소로 유입됐다. CryptoQuant에 따르면 7월 28일부터 8월 3일 사이 거래소 전체 비트코인 보유량은 약 270만 2천 BTC에서 271만 9천 BTC로 1만 7,500 BTC 증가했다. 증가분의 약 51%는 바이낸스가 흡수했으며, 바이낸스 보유량은 약 9,000 BTC 늘어 65만 9천 BTC에 이르렀다. 다만 이 유입분이 매도 의도를 의미하지는 않으며, 새 지갑을 준비하는 동안의 임시 수탁일 가능성도 크다고 분석됐다. 콜드카드 사태를 계기로 ETF 수탁 방식에 대한 논의도 재점화됐다. 블룸버그 인텔리전스 ETF 애널리스트 에릭 발추나스는 이번 사건이 일부 장기 보유자들로 하여금 현물 비트코인 ETF로의 이동을 검토하게 만들 수 있다고 밝혔다. 그는 ETF 수탁자가 공격받을 경우 즉각적인 규제 조사와 펀드 매니저·수탁자·법 집행 기관의 공조 대응이 이루어질 것이라고 지적했다. 자기수탁이 은행이나 거래소 의존성을 제거하는 장점이 있지만, 하드웨어·소프트웨어 관리 책임을 사용자가 모두 짊어져야 하는 리스크도 함께 따른다는 점이 이번 사태로 부각됐다. 경쟁사 트레저(Trezor)는 이번 사건 이후 피싱 시도가 증가했다며, 복구 시드를 절대 공유하거나 외부 사이트·앱에 입력하지 말 것을 경고했다.