콜드카드 취약점, 비트코인 18개 탈취

이 사건은 콜드카드가 생성하는 시드 문구의 무작위성이 충분하지 않다는 점을 해커가 파악하고 이를 악용해 다수의 비트코인을 탈취한 것이다.

이로 인해 총 1800 BTC가 탈취되는 대규모 피해가 발생했지만, 한국에서는 사용자가 직접 키를 생성하는 방식이 일반적이어서 유사한 피해 사례는 없는 것으로 알려졌다.

그는 게시물에서 콜드카드 사용자라면 즉시 자금을 이동시키라는 경고를 읽었다.

당시 피해자 또한 콜드카드 3대를 사용 중이었기에, 이 소식을 접하고 즉시 상황의 심각성을 인지했다.

와사비 월렛 데이터가 업데이트된 후, 피해자가 첫 번째 지갑을 열어보자마자 화면에 빨간 선이 나타났다. 이 빨간 선은 지갑이 비어있거나 큰 문제가 발생했음을 시각적으로 나타내는 경고였다.

피해자는 그 순간 해킹 피해를 직감했으며, 보유 중인 콜드카드 3대 모두 싱글시그 방식으로 설정되어 있어 모든 기기가 동일한 취약점에 노출되었음을 파악했다.

피해자는 비트코이너들이 가장 안전하다고 말하는 하드월렛을 사용했고, 거래 시에는 에어갭 방식을 철저히 준수했다. 시드 문구는 금속판에 직접 각인하여 은행의 안전 금고에 보관했으며, 3대의 콜드카드를 분산 보관하는 등 다각적인 보안 조치를 취했다.

그러나 이 모든 기기가 동일한 제조사의 제품으로, 시드 문구 생성 방식의 치명적인 결함(Common Cause Failure)을 공유하고 있었다. 결국 이러한 단일 약점이 모든 안전 장치를 무력화하는 원인이 되었다.

피해자는 여러 대의 기기를 분산하여 보관했지만, 제조사를 다양화하는 것은 고려하지 않았다. 그는 시드 문구의 유출이나 분실을 주된 위험으로 간주했고, 이에 대한 대비책은 마련했다.

그러나 시드 문구를 생성하는 엔트로피 자체가 제대로 만들어지지 않았을 것이라는 가능성은 전혀 예상하지 못했다고 밝혔다. 이는 콜드카드 같은 전문 기기가 기본적인 보안 메커니즘에서 결함을 가질 것이라고는 꿈에도 생각지 못했음을 나타낸다.

피해자는 콜드카드 제조사인 코인카이트가 현재 진행하는 대응을 올바른 방향으로 평가했다. 그는 회사가 아직 피해를 입지 않은 다른 사용자들을 보호하려는 노력을 최우선으로 해야 한다고 강조했다.

피해 보상 요구는 당연하지만, 현실적인 어려움이 있다는 점을 인정하며 당장의 피해 확산 방지에 집중하는 것이 중요하다고 언급했다.

이는 자신의 피해 사실을 명확히 입증하기 위한 전략이었다.

특히 코인카이트 고객 지원 센터에 문의 내용을 상세히 기록으로 남겨, 회사의 공식 대응과 자신의 피해 상황을 체계적으로 보존했다.

피해자는 사이버 범죄 수사팀으로 사건을 접수하려면 먼저 일반적인 신고 절차를 거쳐야 함을 알게 되었다. 경찰서에 직접 방문하여 사이버 범죄 피해 접수를 요청하자, 경찰은 피해 액수를 먼저 물었다.

경찰 상담원 역시 처음 접하는 비트코인 해킹 사건 유형에 당황하는 모습을 보였으며, 전화 접수를 시도하는 데까지 총 2시간 50분이 소요되는 등 사건 접수 과정에서 여러 어려움을 겪었다.

피해자의 집을 방문한 경찰은 90분 동안 현장 조사를 진행했으며, 트랜잭션 아이디를 포함한 상세한 증거 자료를 제출받았다. 그러나 경찰은 수사의 우선순위가 범인 검거에 있다고 명확히 밝혔다.

경찰은 피해 금액 회복이 자신들의 임무가 아님을 강조하며, 피해자에게 경찰의 역할과 한계를 정확히 인지할 것을 통보했다.

피해자는 자신의 투자 시스템을 구축한 이유 중 하나가 예상치 못한 치명적인 실패 가능성까지 감안하기 위함이라고 밝혔다. 비트코인을 4가지 투자 축 중 하나로 삼고 포트폴리오를 다각화한 것이었다.

이는 디지털 세상에서 발생할 수 있는 예기치 못한 위험에 대비하기 위한 시스템적인 접근이었으며, 덕분에 이번 사건으로 전 재산을 잃지 않았다는 사실에 안도감을 표했다.

피해자는 잃어버린 비트코인이 자녀를 위해 모아둔 저축액이었다고 밝히며, 이 돈을 다시 벌어 아이들의 저축을 채워 넣어야겠다는 더 강한 의지가 생겼다고 말했다. 그는 이번 사건을 스스로의 역량을 증명하는 시험대로 받아들였다.

이번 사건을 통해 모든 보안 장치가 단일한 약점을 공유하는 구조적 문제점을 명확히 인식하게 되었으며, 향후 이러한 취약점을 극복하는 데 집중할 것이라고 다짐했다.

피해자는 이번 사건이 비트코인 시스템 자체의 실패가 아닌, 특정 회사인 코인카이트의 실패임을 강조했다. 그는 이러한 사건을 통해 인간이 작성한 코드가 얼마나 취약할 수 있는지에 대한 중요한 교훈을 얻어야 한다고 말했다.

특히 AI를 활용한 해커들이 코드의 취약점을 공격한 것으로 추정되며, 이는 신뢰하는 대상이라도 언제든 취약점을 가질 수 있다는 깨달음을 주었다. 비트코인 생태계 자체가 아닌, 개별 서비스의 구현 방식에서 문제가 발생했음을 분명히 했다.

피해자는 이번 해킹 사건에도 불구하고 비트코인에 대한 자신의 믿음은 변함이 없다고 단언했다. 그는 앞으로도 비트코인을 다시 매수할 것이며, 비트코인의 근본적인 철학은 훼손되지 않았다고 강조했다.

오히려 이러한 취약점이 발견되고 제거되는 과정을 통해 비트코인 생태계가 더욱 강화될 것이라고 전망했다. 그는 비트코인의 비대칭적 기회와 기대값은 여전히 유효하다고 판단하고 있다.