Coldcard 펌웨어 취약점 발생 — 1억 3천만 달러 비트코인 유출

비트코인 장기 투자자들이 가장 안전하다고 믿고 쓰던 하드웨어 지갑인 콜드카드(Coldcard)에서 심각한 보안 취약점이 발견되어 커뮤니티가 크게 술렁이고 있습니다. 실물 기기를 잃어버린 것도 아닌데 무려 1억 3,000만 달러에 달하는 비트코인이 유출되면서, '내 자산은 내가 직접 보관한다'는 개인 수탁의 공식마저 흔들리는 분위기입니다. 안전지대로 꼽히던 하드웨어 지갑에 도대체 어떤 허점이 있었던 건지, 그리고 이번 사건이 시장에 어떤 변화를 불러오고 있는지 차근차근 살펴보겠습니다.

무슨 일이 일어났을까? 펌웨어 엔트로피의 함정

이번 보안 사고의 핵심 원인은 지난 2021년에 배포된 펌웨어 오류에 있습니다. 하드웨어 지갑은 해커가 유추할 수 없도록 무작위로 아주 복잡한 암호키를 만들어내야 하는데요. 이 무작위성을 확보하는 과정을 바로 엔트로피라고 부릅니다. 그런데 이 과정에 치명적인 문제가 발생하면서 암호의 무작위 강도가 기존 128비트에서 보안성이 매우 취약한 40비트 수준으로 뚝 떨어졌습니다.

이게 얼마나 심각한 일인지 쉽게 비유해 볼까요? 원래대로라면 전 세계 컴퓨터를 다 동원해도 풀기 힘든 복잡하고 견고한 금고 자물쇠였는데, 갑자기 누구나 몇 번만 찍어서 맞출 수 있는 아주 단순한 3자리 비밀번호 수준으로 보안이 약해진 셈입니다. 암호 조합의 경우의 수가 터무니없이 줄어들다 보니, 해커들이 컴퓨터로 임의의 숫자를 계속 대입해 보는 단순한 무차별 대입 공격만으로도 지갑의 암호를 너무나 쉽게 풀어낼 수 있게 되었습니다.

물리적 접촉 없이 유출된 1억 3,000만 달러

이번 취약점으로 유출된 비트코인은 무려 1억 3,000만 달러에 달합니다. 우리 돈으로 1,800억 원이 넘는 엄청난 규모입니다. 이번 사건에서 가장 충격적인 부분은 해커가 피해자들의 실물 기기를 훔치거나 물리적으로 손을 대지 않았는데도 자산을 빼돌렸다는 점입니다.

하드웨어 지갑은 보통 인터넷과 차단되어 있어 물리적인 탈취나 해킹으로부터 안전하다고 믿기 마련입니다. 하지만 이번에는 암호 강도가 너무 낮아진 틈을 타, 해커들이 컴퓨터 프로그램으로 모든 비밀번호 조합을 무작위로 대입해보는 공격 방식을 사용했습니다. 마치 허술한 자물쇠의 비밀번호를 초고속 컴퓨터로 하나하나 맞춰보며 열어버린 셈입니다.

결국 피해자들은 지갑을 서랍 깊숙한 곳이나 금고에 아주 안전하게 보관하고 있었는데도, 정작 네트워크상에서 암호키가 뚫려 자산이 증발하는 허무한 피해를 입게 되었습니다. 하드웨어 지갑의 가장 큰 강점이었던 물리적 보안이 무색해진 순간입니다.

흔들리는 개인 수탁 공식과 ETF로의 머니무브

크립토 업계에는 오랜 세월 정설처럼 내려오는 원칙이 있습니다. 바로 '내 키가 아니면 내 코인이 아니다'라는 개인 수탁 신념인데요. 거래소 해킹 같은 위험에서 벗어나기 위해 많은 자산가와 장기 투자자들이 하드웨어 지갑을 최후의 안전지대로 선택해 왔습니다. 하지만 하드웨어 자체의 프로그램 결함으로 자산이 털릴 수 있다는 사실이 증명되면서, 이 굳건했던 공식이 통째로 흔들리고 있습니다.

실제로 이번 사태는 오랜 시간 직접 자산을 보관해 온 커뮤니티 구성원들에게 큰 심리적 충격을 주었습니다. 개인이 아무리 조심해도 기기 제조사의 코드 오류 때문에 지갑이 열릴 수 있다는 불안감이 커진 것이죠. 결국 직접 관리하는 보안의 한계를 실감한 투자자들이 대안을 찾기 시작했습니다.

갤럭시 리서치와 블룸버그 등 주요 분석 기관에 따르면, 최근 비트코인 현물 ETF로 유입되는 자금이 눈에 띄게 늘어난 흐름이 포착되었습니다. 개인이 직접 보안 위험을 떠안는 대신, 규제를 받는 제도권 금융사의 수탁 서비스를 안전한 대피처로 선택하는 움직임이 뚜렷해진 셈입니다.

지속적으로 지켜봐야 할 후속 조치

가장 안전하다고 믿었던 하드웨어 지갑마저 완벽한 정답은 아닐 수 있다는 사실이 우리에게 무거운 과제를 던져준 것 같습니다. 앞으로 코인카이트가 내놓을 공식 보상 대책과 후속 보안 패치 일정을 주의 깊게 지켜볼 필요가 있습니다. 당장 하드웨어 지갑을 쓰고 계신다면 펌웨어 버전을 최신으로 유지하고 관련 보안 공지를 수시로 확인하는 습관을 꼭 들이시길 바랍니다.