비트코인 2천 개 탈취 '콜드카드 게이트'… 한국은 왜 안전했나

최근 발생한 콜드카드 게이트는 암호화폐 역사에 큰 충격을 주고 있습니다. 전문가들은 이번 사건이 과거 FTX 파산이나 루나 폭락 사태보다 더 심각한 규모의 비트코인 탈취 사건으로 기록될 것이라고 분석합니다. 지갑 기기 자체의 보안 취약점으로 인해 수천 개의 비트코인이 사라졌다는 점에서 사용자들의 불안감이 고조되고 있습니다.

콜드카드 측은 이번 사태의 원인이 된 버그가 5년 동안 공개되어 있었으며, 아무도 이를 발견하지 못했다고 주장하고 있습니다. 이는 사실상 사용자들의 부주의를 탓하는 듯한 뉘앙스를 풍겨 논란을 가중시키고 있습니다. 지갑 제조사로서 보안 책임이 있음에도 불구하고, 문제를 인지하지 못한 사용자들에게 책임을 전가하려는 태도로 비판받고 있습니다.

대규모 비트코인 탈취 사태 속에서 한국은 상대적으로 피해가 적었습니다. 이는 한국에서 콜드카드 제품의 접근성이 해외보다 낮았기 때문이라는 분석이 나옵니다. 콜드카드의 인지도가 낮고 구매가 어려웠던 점이 역설적으로 국내 사용자들의 자산을 보호하는 '천운'으로 작용한 것입니다. 이번 사태를 통해 특정 하드웨어 지갑에 대한 의존도를 재고해야 한다는 목소리가 커지고 있습니다.

한 투자자는 2022년 5월 루나 사태로 큰 충격을 받은 후 비트코인에 대한 신념을 강화하는 '비트코인 맥시'가 되었다고 고백했습니다. 그는 루나 사태를 겪으며 탈중앙화된 비트코인의 가치를 재인식했고, 이후 비트코인 맥시들이 강조하는 '시드 사이너'를 직접 조립하는 등 개인 보안 강화에 힘썼습니다. 이는 중앙화된 시스템의 위험성을 깨닫고 비트코인 자체의 보안 중요성에 집중하게 된 계기가 되었음을 보여줍니다.

기기가 생성하는 니모닉이 충분히 무작위적이지 않아, 외부에서 이를 쉽게 추측할 수 있다는 것이 핵심입니다. 이는 지갑 보안의 근간을 흔드는 심각한 취약점으로, 사용자 자산 탈취의 직접적인 원인이 되었습니다. 콜드카드가 사용자들에게 약속했던 강력한 보안 수준에 미치지 못했음이 드러난 셈입니다.

전 CEO의 주장은 콜드카드 측의 공식 입장과 상충되어, 이번 보안 취약점의 범위가 더 넓을 수 있다는 우려를 낳고 있습니다.

콜드카드는 보안 취약점 해결을 위해 긴급 펌웨어를 배포했으나, 이 펌웨어를 설치한 일부 기기에서 '벽돌 현상'이 발생했다는 보고가 잇따랐습니다. 콜드카드 측은 일시적인 현상이므로 재부팅을 권장했지만, 이후 해당 문제의 해결 여부나 추가적인 상황은 명확히 확인되지 않고 있습니다. 이는 콜드카드의 부실한 사후 대처와 정보 공유 부족을 보여주며 사용자들의 불신을 더욱 증폭시키고 있습니다.

지갑 주소나 니모닉 생성 시 충분히 무작위적인 숫자를 확보하는 것이 해킹을 막는 가장 중요한 요소입니다. 그러나 인간은 본질적으로 무작위적인 숫자를 생성하는 데 매우 취약합니다. 우리는 오히려 패턴을 인식하고 만들어내는 데 능하며, 이는 생존에 직결되는 능력입니다. 바로 이러한 인간의 특성 때문에 무작위성을 요구하는 비트코인 보안 시스템에서 실수가 발생할 가능성이 높아집니다. 콜드카드의 문제도 결국 인간이 만든 시스템의 '무작위성' 설계 오류에서 비롯되었습니다.

이는 사용자들에게 기기가 128번의 무작위 난수를 생성하여 니모닉을 제공한다고 알려졌던 것과 달랐습니다. 실제로는 그보다 훨씬 낮은 수준의 무작위성으로 니모닉이 생성되었고, 이로 인해 지갑 보안이 심각하게 취약해졌습니다. 셀프 커스터디를 통해 자산을 직접 관리하던 많은 사용자가 기계에서 자동 생성된 니모닉이 높은 무작위성을 가질 것이라고 믿었으나, 그 믿음이 깨진 것입니다. 결국 콜드카드의 허술한 설계가 이번 대규모 탈취 사태의 근본적인 원인으로 작용했습니다.

이론적으로 128비트의 무작위성은 사실상 해킹이 불가능한 수준이지만, 32비트의 무작위성은 훨씬 낮은 보안 수준을 의미합니다. 이는 단순한 실수 차원이 아니라, 지갑의 보안 신뢰도를 압도적으로 떨어뜨려 무작위 대입 공격에도 취약하게 만드는 결과를 초래했습니다.

콜드카드 해킹은 고도의 인공지능(AI) 기술을 활용한 복잡한 공격이 아니었습니다. 니모닉의 무작위성이 낮았기 때문에 단순한 '무작위 대입(브루트 포스) 공격' 프로그램만으로도 충분히 해킹이 가능했습니다. 이는 컴퓨터가 무작위로 가능한 모든 조합을 시도하여 정답을 찾아내는 방식으로, AI의 특별한 도움 없이도 프로그래밍을 통해 쉽게 구현할 수 있는 공격 기법입니다. 결국 콜드카드의 보안 취약점이 얼마나 근본적이었는지를 보여주는 대목입니다.

당시 한 사용자가 콜드카드 측에 문제를 보고했지만, 콜드카드에서는 이를 묵살하고 적절한 조치를 취하지 않은 것으로 드러났습니다. 이는 콜드카드가 보안 취약점을 인지하고 있었음에도 불구하고 이를 방치하거나 경시했을 가능성을 시사하며, 기업의 책임 회피에 대한 비판을 더욱 키우고 있습니다. 만약 초기에 문제 제기를 수용했다면 이번 대규모 탈취 사태를 막을 수도 있었을 것이라는 점에서 아쉬움이 남습니다.

콜드카드 사태는 비단 콜드카드만의 문제가 아닐 수 있다는 우려도 제기됩니다. 사용자가 기계가 자동으로 생성해 주는 니모닉을 그대로 사용했던 다른 셀프 커스터디 지갑들 역시 엔트로피가 낮았을 가능성이 있다는 것입니다. 다양한 종류의 하드웨어 지갑들이 시중에 나와 있는 만큼, 이번 사건을 계기로 다른 지갑 제조사들도 자사 제품의 니모닉 생성 로직에 대한 철저한 검증이 필요하다는 목소리가 커지고 있습니다. 사용자의 자산을 안전하게 보호하기 위한 업계 전반의 경각심이 요구됩니다.

콜드카드 해킹으로 인해 비트코인에 대한 신뢰가 흔들릴 수 있지만, 이는 비트코인 자체의 문제가 아니라 지갑 제조사의 문제임을 명확히 구분해야 한다는 지적이 나옵니다. 일부 사용자들이 '이럴 거면 다시 거래소에 비트코인을 맡기거나 ETF로 가겠다'고 생각할 수 있으나, 이는 합리적인 판단이 아니라는 것입니다. 비트코인은 탈중앙화된 블록체인 기술로 그 자체의 보안성은 견고하지만, 이를 보관하는 지갑이나 거래소와 같은 외부 시스템에서 문제가 발생할 수 있다는 점을 인지해야 합니다. 사고를 친 것은 지갑 회사인데, 비트코인 탓을 하는 것은 사고의 오류라는 분석입니다.

이 설계 오류가 니모닉의 낮은 무작위성으로 이어져 전체적인 보안 취약점을 야기했습니다.

콜드카드의 이번 사태는 단순한 기술적 실수를 넘어 기업의 '오만과 무지'가 불러온 결과라는 비판을 받고 있습니다. 특히 오픈소스 코드를 활용하면서도 그 본질적인 힘과 커뮤니티의 검증 과정을 경시했던 태도가 사고를 키웠다는 지적입니다. 오픈소스의 투명성과 공개적인 검증 기회를 무시하고, 독단적으로 코드를 변형하다가 치명적인 실수를 저질렀다는 점에서 콜드카드는 현재 '괴씸죄'로도 많은 비난을 받고 있습니다.

지금까지 비트코인과 관련하여 이 정도로 심각한 지갑 문제가 발생한 적은 없었습니다. 탈중앙화된 비트코인의 특성상 개인이 직접 자산을 관리하는 셀프 커스터디가 강조되어 왔는데, 하드웨어 지갑의 근본적인 보안 취약점으로 인해 대규모 자산이 탈취된 것은 비트코인 생태계에 큰 전환점 또는 사고로 남을 것으로 보입니다. 이번 사건은 비트코인뿐만 아니라 모든 암호화폐 사용자들에게 개인 자산 보안의 중요성을 다시 한번 일깨우는 계기가 될 것입니다.

현재 콜드카드 사용자와 다른 셀프 커스터디 지갑 사용자들은 자신의 비트코인 자산을 점검해야 하는 상황입니다. 그러나 전문가들은 '급하게' 자산을 옮기려다 또 다른 사고를 당할 위험이 있으므로 차분한 대응이 중요하다고 강조합니다. 해외에서는 이번 사태로 인해 불안해진 사용자들이 사기 앱에 니모닉을 입력했다가 추가 피해를 보는 사례도 발생했습니다. 따라서 감정적 동요를 피하고, 충분한 정보를 바탕으로 신중하게 자산을 이동하거나 보안 조치를 취해야 합니다.