콜드카드 해킹으로 89억 원 탈취, 하드웨어 지갑 안전한가

비트코인을 가장 안전하게 보관하는 방법은 하드웨어 지갑이라고 누구나 말해왔다. 인터넷에 연결되지 않는 소형 오프라인 장치로. 개인키는 절대 외부로 나오지 않으며 물리적으로 탈취하지 않는 이상 자산을 빼갈 수 없다고 알려져 있었다. 그러나 7월 30일부터 수천 개의 하드웨어 지갑이 아무도 건드리지 않은 채 원격으로 비워졌다. Galaxy Research의 온체인 분석에 따르면, 피해 규모는 약 8,860만 달러에 달한다.

피해를 입은 것은 비트코인 커뮤니티에서 가장 신뢰받는 하드웨어 지갑 중 하나인 콜드카드(Coldcard)였다. 더욱 충격적인 것은 원인이 정교한 공격이 아니라 5년간 숨겨져 있던 단순한 펌웨어 버그였다는 사실이다. 무슨 일이 있었는지, 왜 이것이 비트코인 자체의 문제가 아닌지, 그리고 내가 위험에 처해 있는지 확인하는 방법을 정리했다.

수치로 본 사건 경위

Galaxy Research의 블록체인 분석으로 재구성된 사건의 전말은 충격적이다. 7월 30일부터 공격자는 여러 차례에 걸쳐 콜드카드 지갑을 비워나갔다. 첫 번째 파에서는 30분도 채 되지 않아 약 594 BTC가 빠져나갔다. 이후 추가 공격으로 총 피해액은 약 1,367 BTC. Galaxy Research 집계 기준 약 8,860만 달러에 달했으며 4,585개 주소가 피해를 입었다.

가장 섬뜩한 점은 피해를 입은 지갑 중 상당수가 수년간 거래 기록이 없던 휴면 상태였다는 것이다. 피해자들은 서랍 속에 자산이 안전하게 잠겨 있다고 믿었지만, 아무 링크도 클릭하지 않고 어떤 실수도 하지 않았음에도 자산이 사라졌다. 공격자에게는 피해자를 속일 필요조차 없었다 한편 기술적 결함 하나로 충분했다.

원인: “무작위성”이 무작위가 아니었다

기술적인 부분이 나오지만, 핵심은 생각보다 단순하다 그리고 지갑의 보안은 한 가지에 달려 있다. 지갑을 처음 생성할 때 장치가 시드(seed)라 불리는 비밀키를 만드는데, 가능한 조합의 수가 천문학적으로 많아 추측이 사실상 불가능해야 한다. 이 보안은 전적으로 그 선택이 진정한 무작위이고 예측 불가능해야 한다는 전제에 기반한다.

바로 이 지점에서 콜드카드가 실패했다. 2021년 3월 펌웨어 업데이트에서 도입된 버그로 인해. 일부 장치가 전용 하드웨어 난수 생성기(RNG) 대신 칩의 비밀이 아닌 데이터에 기반한 예측 가능한 소프트웨어 방식으로 대체 동작했다. 그 결과 가능한 조합의 공간이 극적으로 줄어들어, 컴퓨터가 완전 탐색할 수 있는 수준이 되어버렸다. 해당 지갑들의 비밀키는 소유자들이 믿었던 것보다 훨씬 덜 비밀스러웠고, 공격자는 장치를 한 번도 건드리지 않고 키를 역산해냈다.

왜 비트코인의 문제가 아닌가, 그러나 교훈은 남는다

이 점을 명확히 짚어두는 것이 중요하다 그리고 이번 사건은 비트코인 네트워크의 결함이 아니다. 비트코인 네트워크는 여전히 견고하고 침해받지 않았다. 프로토콜을 보호하는 암호화 기술 자체는 깨지지 않았다. 문제는 단일 제조업체의 단일 제품, 더 구체적으로는 특정 버전의 펌웨어에 있었다. 금고 제조사가 실수로 결함 있는 자물쇠를 달아놓은 것과 같다. 강철의 문제가 아니라 그 잠금장치의 문제다.

그러나 암호화폐를 보유한 모든 사람에게 이 사건의 교훈은 깊다. 지갑의 보안은 키를 어디에 보관하느냐만이 아니라, 키가 어떻게 생성되었느냐에도 달려 있음을 상기시켜준다. 처음부터 키가 예측 가능하다면 오프라인 장치는 아무 의미가 없다. 보안은 사슬과 같으며, 가장 약한 고리만큼만 강하다. 이는 우리가 암호화폐 보관 가이드에서 설명하는 원칙과 동일하다.

위험에 처했는가? 실용적인 체크리스트

실질적인 부분, 즉 하드웨어 지갑을 보유하고 있다면 무엇을 확인해야 하는지로 넘어가자. 다행히 이번 문제에 대한 노출은 명확하게 제한되어 있다. 모든 콜드카드 사용자가 위험한 것도 아니고, 다른 지갑을 사용하는 사람은 이번 공격과 무관하다.

다음 조건을 모두 충족할 때만 잠재적 위험에 처해 있다. 구형 모델(Mk3) 콜드카드를 사용하고 있으며. 해당 기간의 결함 있는 펌웨어가 실행 중일 때 장치에서 직접 시드를 생성했고. 패스프레이즈(passphrase)와 같은 추가 보호 조치를 사용하지 않은 경우다. 최신 모델을 사용하거나, 외부에서 생성한 시드를 가져왔거나, 패스프레이즈를 설정했다면 이번 취약점에 노출되지 않는다. 단, 결정적인 경고가 있다. 위험에 처해 있다면 지금 펌웨어를 업데이트하는 것만으로는 자산을 지킬 수 없다. 패치는 새로 생성되는 시드가 취약하게 만들어지는 것을 막을 뿐. 이미 잘못 생성된 키는 복구되지 않는다. 유일한 해결책은 새로운 안전한 지갑을 만들고 즉시 자산을 이전하는 것이다.

더 큰 교훈

결과적으로, 콜드카드 공격은 최근 몇 년간 가장 시사하는 바가 큰 사고 중 하나다. 콜드 스토리지, 즉 오프라인 보관이 난공불락의 요새라는 암호화폐 업계의 통념을 정면으로 흔들었기 때문이다. 콜드 스토리지는 여전히 안전하다. 단, 모든 구성 요소가 완벽하게 만들어졌을 때만 그렇다. 누구나 검사할 수 있는 공개 코드 속에 5년간 숨어 있던 단 하나의 오류가 금고를 열린 문으로 바꿔버렸다.

혼자 자산을 보관하는 사람들에게 주는 교훈은 “콜드 스토리지는 위험하다”가 아니다. 콜드 스토리지는 여전히 가장 안전한 방법이다. 교훈은 셀프 커스터디가 책임을 요구하는 실천이라는 것이다. 키를 어디에 보관하는지뿐 아니라 어떻게 생성되었는지 이해하고. 장치를 최신 상태로 유지하며, 모든 자산을 단 하나의 도구에 집중시키지 않는 분산 원칙을 지켜야 한다. 아무리 명성 높은 장치라도 맹목적으로 신뢰하는 것 자체가 위험 요소다. 암호화폐 세계에서 진정한 금고는 하드웨어가 아니라 지식이다. 더 깊이 알고 싶다면 암호화폐 안전 보관 방법 가이드를 읽어보기 바란다.