비트코인(BTC) Coldcard 펌웨어 취약점 피해 1억 달러 돌파

비트코인 뉴스

비트코인(BTC) 하드웨어 지갑 Coldcard 사용자들이 펌웨어 결함으로 인해 1억 달러 이상의 자산을 탈취당했다. 이번 사태는 콜드월렛 기반 자기보관(self-custody) 모델의 신뢰성을 근본적으로 뒤흔드는 사건이다. 문제의根源은 2021년 코드 마이그레이션 과정에서 발생했다. 시드 생성 로직이 하드웨어 난수생성기(HWRNG) 대신, 해당 칩이 없는 기기를 위한 소프트웨어 폴백으로 조용히 전환된 것이다. 빌드 플래그가 0 값을 '정의됨'으로 처리하면서 이 폴백이 그대로 활성화됐고, 구형 Mk2·Mk3 모델의 엔트로피는 설계 목표인 128비트에서 약 40비트까지 떨어졌다. 온체인 분석 결과, 세 차례의 대규모 스윕과 14건의 소규모 인시던트를 합쳐 총 1,596 BTC가 탈취된 것으로 확인됐으며, 네 번째 스윕으로 추정되는 물량까지 포함하면 피해 규모는 2,055 BTC, 약 1억 3,000만 달러에 달한다.

현재 최소 15개의 독립적 공격 그룹이 취약한 Coldcard 지갑을 스캐닝하고 있으며, 그 수는 계속 늘고 있다. 하루 사이 한 사용자가 1 BTC 미만을 도난당했다고 신고한 뒤, 블록체인 분석을 통해 126개 주소에서 12 BTC를 이미 인출한 미확인 공격자가 추가로 발견됐다. 연구자들은 각 클러스터를 알파벳 순으로 분류하고 있으며, 최신 공격자의 식별자는 O로 지정됐다. 이 결함이 공개된 이상, 기술적 역량을 갖춘 누구나 비트코인 원장에서 약한 키를 스캔하고 브루트포스를 시도할 수 있다. Coinkite는 버그를 공식 인정하고 해당 펌웨어 트랙에 대한 수정 패치를 배포했으며, 위협이 여전히 진행 중이라고 경고했다. 아울러 펌웨어를 업데이트해도 이미 생성된 시드는 복구되지 않는다는 점을 명확히 했다.

Coldcard의 최신 권고문에 따르면, 사용자들은 이번 취약점을 미해결 상태로 간주하고 자금을 새로 생성한 지갑으로 옮겨야 한다. 회사는 새로운 리커버리 프레이즈를 생성해 자산을 이전하고, 펌웨어를 업데이트한 뒤, 기존 경로에서 파생된 주소는 더 이상 사용하지 말 것을 권고했다. 또한 현재 수정 패치가 기기를 영구적으로 비활성화한다는 주장에 대해 반박하며, 일시적인 진성 난수생성기(TRNG) 오류는 전원을 차단하고 재시작하면 해소된다고 밝혔다. 회사 측 설명에 따르면 해당 오류는 플래시 메모리에 데이터를 쓰지 않으며, 시스템은 안전하게 종료되도록 설계됐다. 개발팀은 제한된 재시도 횟수, 시드 오류 감지, 이전 RNG 출력 삭제를 포함한 추가 패치를 준비 중이며, Mk3 지원은 별도로 제공될 예정이다.

이번 보안 위기는 장기간 휴면 상태이던 비트코인 주소의 이례적인 움직임과도 시기가 겹쳤다. 온체인 기록에 따르면, 500 BTC(약 3,200만 달러)를 보유한 레거시 지갑이 12년간의 비활성 끝에 잔액 전액을 이체했으며, 수수료는 단 191사토시(약 0.12달러)에 불과했다. 일부 관찰자들은 이 시점이 Coldcard 사건과 관련이 있다고 추측하지만, 온체인 데이터만으로는 해당 소유자가 취약점에 반응한 것인지 아니면 단순히 보관 체계를 재구성한 것인지 입증할 수 없다. 장기 휴면 코인의 이동은 통상 분실된 키나 고래의 매도 가능성에 대한 추측을 불러일으키지만, 더 새로운 저장소로의 일상적 통합일 수도 있다. 이 에피소드는 활성 취약점 상황에서 자기보관의 전제가 얼마나 빠르게 흔들릴 수 있는지를 보여준다.

탈취된 BTC 약 3,600만 달러어치를 보유한 것으로 추정되는 한 지갑은 즉석 메시지 보드로 변모했다. 도난 이후 이 주소에는 23건의 소액 입금が届쳤으며, 그중 14건에 OP_RETURN 또는 유사 메타데이터를 통한 서면 메시지가 포함됐다. 발송자들은 수수료 제외 약 52달러 상당의 81,527사토시를 전송했으며, 네트워크 비용으로 약 9,706사토시를 지출했다. 메시지 내용은 부분 환불 요청, 협상 메모, 하이쿠, 격언, 자금세탁 제안, 사기 광고에 이르기까지 다양하다. 한 항목은 지갑 자체를 비우라고 지시하며, 공격자를 인간이 아닌 AI 암호화폐 지갑으로 취급하기도 했다.

확인된 피해 규모는 급격히 확대되고 있어 조사자들에게 끊임없이 움직이는 표적이 되고 있다. 첫 번째 스윕이 포착됐을 때 추정치는 3,800만 달러였으나, 토요일까지 8,860만 달러로 급증했고, 이후 1억 달러를 돌파했다. 확인된 범위는 세 차례의 대규모 스윕과 14건의 소규모 인시던트를 포함해 약 7,300개 주소에서 탈취된 1,596 BTC이며, 네 번째 스윕이 확인되면 총량은 2,055 BTC, 약 1억 3,000만 달러에 근접한다. 73명의 피해자가 연구자들에게 연락해 기회주의적 공격자의 흔적 식별에 기여했다. 탈취된 BTC의 약 90%는 아직 이동하지 않은 상태이며, 주소 데이터는 미국 연방 법집행기관, 거래소, 사이버 수사 전문 기업에 공유됐다. 수정 펌웨어는 7월 31일에 배포됐으나, 이미 손상된 시드를 복원할 수는 없다.

COINOTAG 자체 42개 지표 복합 지지·저항 스코어링 엔진에 따르면, 최신 데이터 기준 비트코인(BTC)은 64,059.53달러로 0.14% 상승하며 횡보 중이다. 63,712달러 지지선은 피보나치 0.236과 SMA 50에 기반해 73/100점을 기록하고 있으며, 64,359달러 저항선은 S→R 플립과 SMA 20에 의해 77/100점, 66,878달러는 켈트너 상단과 EMA 100 기준으로 79/100점을 나타낸다. 펀딩 비율은 0.0026%, 미결제약정은 128억 2,000만 달러, 롱/숏 비율은 1.38로 완만한 롱 우위를 보인다. 공포·탐욕 지수는 25로 극단적 공포 구간이다. 64,359달러를 회복하면 66,878달러가 다음 목표가 되며, 63,712달러를 이탈하면 강세 기반이 무효화되고 62,480달러가 열린다. 비트코인의 69.7% 점유율은 알트코인 대비 방어적 포지션을 시사하지만, 극단적 공포 자체만으로 베어마켓을 확정할 수는 없다.