안전하다던 비트코인 콜드월렛 '콜드카드' 해킹, 최대 2천 개 넘는 비트코인 탈취

안전하다고 여겨지던 콜드카드 해킹으로 인해 비트코인이 탈취된 사건과 관련하여, 초기에는 정확한 피해 규모에 대한 의견이 엇갈렸습니다. 처음에는 약 1,400개 정도로 알려졌으나, 시간이 지남에 따라 그 수치는 2,000개 이상으로 증가했다는 이야기가 나왔습니다.

이는 반년 전 발생했던 FTX 사태나 과거 루나 사태보다도 더 심각한 사건으로 기록될 것이라는 우려가 제기됐습니다. 전문가들은 시간이 지남에 따라 탈취된 비트코인의 수가 계속 늘어날 가능성을 배제하지 않고 있습니다.

콜드카드 제조사인 코인카이트는 이번 해킹 사태에 대해 사용자에게 책임을 전가하는 태도를 보여 논란을 키웠습니다. 코인카이트 측은 해당 버그가 5년 전부터 공개되어 있었음에도 불구하고 아무도 이를 발견하지 못했으므로, 해킹 피해는 사용자 책임이라는 뉘앙스로 답변을 이어갔습니다.

이러한 코인카이트의 주장은 많은 비판을 불러왔습니다. 사용자들이 지적하는 것은 버그의 존재 여부가 아니라, 콜드카드가 사용자들에게 약속했던 보안 수준을 지키지 못했다는 점입니다.

개발사의 무책임한 태도는 비트코인 커뮤니티 내에서 강한 반발을 일으키며, 안전성을 최우선으로 해야 할 지갑 제조사의 기본 자세를 망각했다는 지적이 나오고 있습니다.

이번 콜드카드 해킹 사태와 관련하여 한국 시장의 특이점이 오히려 천운으로 작용했다는 분석이 나왔습니다. 국내에서는 해외에 비해 콜드카드에 대한 접근성이 상대적으로 낮았기 때문에, 피해 규모가 제한적일 수 있었다는 설명입니다.

또한, 한국 비트코인 커뮤니티 내에서는 오랜 기간 동안 '주사위를 굴려서 비트코인 니모닉을 만들어야 한다'는 기본적인 보안 원칙이 강조되어 왔습니다. 이러한 선배들의 조언이 사용자들에게 더욱 신중한 접근을 유도하여 잠재적 위험을 줄이는 데 기여한 것으로 보입니다.

한 유저는 2022년 5월 루나 사태가 발생했을 때 비트코인 보안에 대한 관점이 크게 바뀌었다고 밝혔습니다. 당시 루나가 급락하는 상황을 겪으며, 스스로를 '폭식한 비트 맥시(Bitcoin Maxi)'가 되었다고 설명했습니다.

루나 사태를 계기로 비트코인의 탈중앙화와 보안 원칙에 더욱 깊이 천착하게 되었으며, 이와 함께 시드 사이너(Seed Signer)와 같은 보안 장치를 직접 조립하고 활용하는 등 극단적인 자기 보관 방식을 실천하게 되었다고 언급했습니다.

이 유저는 루나 사태가 개인적인 비트코인 보안 철학에 큰 전환점이 되었음을 강조하며, 이후 맥시들이 강조하는 보안 수칙들을 적극적으로 따르고 있다고 전했습니다.

이번 콜드카드 해킹 사건은 콜드카드 제조사 스스로가 먼저 문제를 인지하고 공개한 것이 아닙니다. 사건의 발단은 한 레딧(Reddit) 사용자가 자신의 비트코인이 갑자기 빠져나갔다는 사실을 온라인 커뮤니티에 보고하면서 시작됐습니다.

이후 리아나 월렛(Liana Wallet) 개발자인 케빈이 해당 리포팅에 관심을 가지고 문제를 파고들기 시작했고, 그 과정에서 콜드카드의 보안 취약점이 수면 위로 드러나게 되었습니다.

콜드카드는 MK3 모델을 포함한 이전 버전에서 생성된 니모닉이 '엔트로피'가 낮아 비트코인 탈취로 이어질 수 있음을 긴급하게 공지했습니다.

이번 인정은 콜드카드 사용자들이 높은 보안성을 기대하며 지갑을 사용해왔다는 점에서 큰 충격을 주었으며, 특히 하드웨어 월렛의 핵심 기능인 시드 문구 생성의 근본적인 문제였다는 점에서 심각하게 받아들여지고 있습니다.

콜드카드는 니모닉 취약점을 인정한 후, 이에 대한 대응으로 긴급 펌웨어 업데이트를 배포했습니다. 하지만 이 긴급 펌웨어마저 새로운 문제를 야기했습니다. 업데이트를 설치한 일부 사용자들 사이에서 콜드카드 기기가 작동을 멈추는 '벽돌 현상'이 보고되었습니다.

이에 대해 콜드카드 측은 일시적인 현상이니 재부팅을 해보라는 지침을 내렸지만, 이후 해당 문제에 대한 추가적인 팔로우업이나 해결책은 충분히 제공되지 않았습니다. 이는 사용자들의 불안감을 더욱 증폭시키며 콜드카드에 대한 신뢰를 더욱 떨어뜨리는 요인으로 작용했습니다.

'원조 감자탕 일미집' 역삼점과 평촌 오비즈 타워점은 비트코인 지지자 두 형제가 사장님으로 운영하고 있습니다. 특히 평촌 오비즈 타워점에서는 카운터에서 비트코인으로 결제할 수 있으며, 비트코인으로 결제할 경우 20% 할인 혜택을 제공하고 있습니다. 덕분에 비트코인으로 저렴하게 식사를 즐길 수 있었다는 경험이 공유되었습니다.

많은 이들이 아직 엔트로피라는 단어에 익숙지 않을 수 있지만, 이 개념은 비트코인 지갑의 보안과 직결됩니다.

엔트로피가 낮으면 니모닉(Mnemonic) 생성에 문제가 발생하여 지갑이 취약해질 수 있습니다. 반대로 높은 엔트로피를 통해 지갑을 생성해야 안전하다는 개념이 이번 사건의 근본 원인으로 지목되고 있습니다.

비트코인 시스템은 수학, 특히 확률에 기반하여 비밀 키를 생성하는데, 이 과정이 0에 수렴할 정도로 완벽하게 무작위적이어야 합니다. 즉, 어떤 패턴도 예측할 수 없도록 무작위성을 극대화하는 것이 중요합니다.

하지만 인간은 본질적으로 무작위성을 완벽하게 생성하는 데 취약하며, 오히려 패턴을 만들어내는 경향이 강합니다. 예를 들어, 사람이 주사위를 굴리거나 동전을 던지는 것보다 시스템이 수학적으로 완벽한 무작위성을 구현하는 것이 비트코인 보안에 필수적입니다.

따라서 비트코인 비밀 키를 선택할 때는 사용자의 의지나 예측이 전혀 개입되지 않는, 수학적인 확률에 가까운 진정한 무작위 과정을 통해 생성되어야 합니다. 이는 해킹 시도를 원천적으로 차단하고 자산을 안전하게 보호하기 위한 가장 기본적인 원칙입니다.

만약 이 무작위성이 충분히 확보되지 않으면, 공격자는 특정 패턴이나 예측 가능한 규칙을 통해 지갑의 비밀 키를 유추할 수 있게 되어 보안에 치명적인 약점을 만들게 됩니다.

콜드카드 사용자들은 자사 기기가 니모닉(seed phrase) 생성 시 128번 또는 256번의 무작위 난수 생성을 보장한다고 믿어왔습니다. 그러나 실제 조사 결과, 콜드카드 구형 모델의 무작위 난수 생성 횟수는 128번이 아닌 32번에 불과했던 것으로 드러났습니다.

32번의 난수 생성은 128번에 비해 압도적으로 낮은 엔트로피(무작위성)를 가지며, 이는 해킹 성공 확률을 훨씬 높이는 치명적인 결함으로 작용했습니다. 이 사실이 밝혀지면서 콜드카드 제조사의 허위 과장 광고 및 보안 불감증에 대한 비판이 거세지고 있습니다.

한 해외 레딧 사용자가 2021년에 콜드카드 MK3 모델의 낮은 엔트로피 생성 문제를 콜드카드 측에 제기했습니다.

그러나 당시 콜드카드는 해당 사용자의 경고를 묵살하고 문제를 해결하지 않았습니다. 이처럼 오랫동안 방치된 보안 취약점이 결국 이번 대규모 해킹 사태로 이어졌다는 비판이 나오고 있습니다.

이는 콜드카드가 사용자들의 보안 우려를 심각하게 받아들이지 않고, 자체적인 검증 시스템 또한 미흡했음을 보여주는 사례로 지목됩니다.

콜드카드 해킹 사건으로 인해 탈취된 비트코인 수는 계속해서 늘어나고 있는 것으로 확인되었습니다. 사건 발생 후 일주일이 채 되지 않은 시점에서도 총 탈취된 비트코인 개수는 이미 2,000개를 넘어섰다는 보고가 나왔습니다.

이는 시간이 지날수록 피해 규모가 더욱 커질 수 있다는 우려를 낳고 있습니다. 전문가들은 콜드카드 사용자들이 서둘러 자산의 안전성을 점검하고 필요한 조치를 취해야 한다고 강조하고 있습니다.

과거 마운트곡스나 FTX 사태처럼 거래소의 부실 운영으로 비트코인에 대한 신뢰가 무너졌던 사건과는 본질적으로 다르다는 것입니다.

전문가들은 콜드카드가 약속한 보안 수준을 지키지 못하고, 난수 생성의 핵심적인 결함을 방치함으로써 사용자 자산을 위험에 빠뜨렸다고 지적합니다. 이는 지갑 제조사가 기본적인 보안 원칙을 제대로 이행하지 못했기 때문에 벌어진 일이라는 분석입니다.

따라서 이번 사건을 통해 비트코인 시스템 자체의 결함을 논하는 것은 적절치 않으며, 문제가 된 것은 지갑 회사의 설계 및 관리상의 실수라는 점이 강조됩니다.

콜드카드와 같은 하드웨어 월렛은 '셀프 커스터디'를 위한 핵심 도구로 여겨졌으나, 제조사의 안일한 태도가 이러한 신뢰를 크게 훼손시켰다는 비판을 피하기 어렵습니다.

콜드카드 제조사인 코인카이트에 대한 비판의 목소리가 커지고 있습니다. 특히 그들의 '탐욕과 오만, 무지'가 오픈 소스 커뮤니티의 원칙을 무시하고 결국 이번과 같은 어처구니없는 실수를 초래했다는 지적이 나옵니다.

코인카이트가 보안 취약점에 대한 경고를 무시하고, 자사의 기술력에 대한 과신으로 인해 기본적인 보안 절차를 소홀히 한 것이 문제의 근본 원인으로 꼽힙니다. 이러한 태도는 현재 코인카이트가 비트코인 커뮤니티 내에서 '괘씸죄'로 많은 비난을 받고 있는 주요 이유입니다.

과거 레저(Ledger) 지갑에서 백도어 이슈가 제기되어 사용자들 사이에서 논란이 있었지만, 당시에도 코어 코드 문제나 특정 백도어에 대한 언급이 있었을 뿐, 실제로 비트코인이 대규모로 탈취되거나 손실된 사례는 없었습니다.

하지만 콜드카드 사건은 수천 개의 비트코인이 실제로 사용자 지갑에서 빠져나갔다는 점에서 매우 심각하게 받아들여지고 있습니다. 이는 하드웨어 월렛의 근본적인 보안 신뢰에 큰 균열을 냈으며, 셀프 커스터디(self-custody)를 옹호하던 비트코인 맥시들에게도 새로운 질문을 던지고 있습니다.

이번 사건을 통해 비트코인 자산 보관 방식에 대한 재평가와 함께, 지갑 제조사의 책임감 있는 개발 및 투명한 정보 공개의 중요성이 더욱 강조될 것으로 보입니다.

인공지능(AI) 기술의 발전은 보안 취약점을 탐색하고 공격하는 '창'의 역할을 더욱 강화할 것이라는 분석이 나왔습니다. AI는 방대한 코드에서 패턴을 찾아내고 잠재적인 보안 결함을 발견하는 데 탁월한 능력을 발휘할 수 있기 때문입니다.

이는 지갑뿐만 아니라 전반적인 보안 시스템을 개발하는 개발자 입장에서 코드 공개 시 보안 관리가 훨씬 더 까다로워질 것임을 의미합니다. 과거에는 콜드카드나 시드 사이너와 같은 장치의 취약점을 찾기 위해 사람이 일일이 코드를 검토해야 했지만, 이제는 AI에 코드를 통째로 넣어 취약점을 찾아내라고 지시할 수 있게 되면서 공격의 효율성과 심각성이 증대될 수 있습니다.

이번 콜드카드 사태로 인해 셀프 커스터디 지갑 사용자들 사이에서 불안감이 커질 수 있지만, 전문가들은 감정적 동요를 피하고 차분하게 대응할 것을 당부합니다. 실제로 해외에서는 이번 사건 때문에 급하게 자산을 옮기려다 오히려 추가적인 사고를 당하는 사례도 발생하고 있습니다.

가장 중요한 원칙은 서두르지 않고 침착하게 자신의 지갑 상태를 점검하는 것입니다. 현재 사용하고 있는 지갑이 즉시 위험하다는 의미는 아니므로, 이번 기회에 제대로 된 시드 문구 생성 방법을 다시 익히고, 기존 지갑의 엔트로피가 충분한지 확인하는 과정을 거쳐야 합니다.

만약 불안하다면 안전하다고 판단되는 방식으로 시드 문구를 새로 생성하고, 해당 지갑으로 자산을 안전하게 이체하여 보관하는 방법을 배우고 실행해야 합니다. 불안감에 휩싸여 섣부른 판단을 하기보다는, 철저한 확인과 학습을 통해 스스로 자산을 보호하는 역량을 키우는 것이 핵심입니다.