비트코인 콜드카드 손실 3차 공격 후 1,367 BTC로 확대

온체인 분석 결과, Coldcard 펌웨어 결함으로 인한 비트코인 손실이 3차례에 걸친 공격 파동을 거쳐 총 1,367.05 BTC(약 8,860만 달러)로 불어났다. 피해 주소는 4,585개에 달한다. 첫 번째 대규모 탈취는 7월 30일 새벽 시작돼 약 41분 만에 1,196개 주소에서 1,082.65 BTC를 쓸어갔다. 이 트랜잭션들은 vByte당 30 satoshi의 수수료를 사용했고 잔돈 출력(change output)이 전혀 없어 클러스터 추적이 상대적으로 용이했다. 7월 31일 두 번째 파동에서는 1,478개 주소에서 76.16 BTC가 빠져나갔고, 이후 세 번째 배치에서 1,912개 주소의 207.7294 BTC가 추가로 탈취됐다. 이번 집계는 앞서 발표된 7,020만 달러 추정치를 상회하는 수치이며, 최종 감사가 아닌 관측치라는 점을 유의해야 한다. Coinkite 측은 통합 오류로 인해 하드웨어 난수 생성기(RNG)가 시드 생성 과정에 제대로 기여하지 못했다고 설명했으며, 수정된 펌웨어는 새로운 취약 시드 생성만을 방지한다. 사용자는 반드시 새 시드를 생성하고 자금을 이체해야 한다. 이번 사건은 셀프 커스터디의 스트레스 테스트가 됐으며, COINOTAG의 비트코인 허브에서 마이그레이션 가이드를 추적하고 있다.

소액 비트코인 이체량이 FTX 파산 당시 수준까지 치솟으면서, 다수의 보유자가 노출 가능성이 있는 주소에서 자금을 이동시키고 있는 것으로 나타났다. 1 BTC 미만 트랜잭션은 하루 만에 39,600 BTC로 급증했는데, 이는 2022년 11월 이후 최고 일일 총량이다. FTX가 붕괴하던 2022년 11월 16일 기록된 39,900 BTC와는 불과 약 300 BTC 차이에 불과하다. 온체인상의 이 급증은 연구자들이 새로운 피해자 및 공격자 주소를 계속 식별하는 가운데 발생했으며, 의심되는 캠페인은 여전히 활성 상태였다. 이 시점은 약세장 시절부터 이어져 온 논쟁, 즉 개인이 셀프 커스터디에 의존해야 하는지 아니면 규제된 수탁사에 맡겨야 하는지에 대한 문제를 다시 수면 위로 끌어올렸다. 일부 보안 전문가는 분산형 셀프 커스터디가 사용자에게 대응 시간을 제공했다고 주장한다. 독립 지갑에 보호된 BTC가 도난으로 식별된 양보다 훨씬 많을 수 있기 때문이다. 반면 다른 이들은 거래소 상장 펀드(ETF)와 전문 수탁사가 펌웨어, 시드, 주소 검증을 직접 관리할 수 없는 사용자의 기술적 리스크를 줄여준다고 반박한다. 이체 패턴이 1 BTC 미만으로 분산되어 있다는 점은 패닉 셀링이 아닌 리스크 완화 행위로 해석된다. 동일한 주의는 셀프 커스터디로 보유 중인 모든 알트코인에도 적용된다.

Coldcard 취약점은 업계 주요 인사들 사이에서 커스터디 보안 논쟁을 한층 격화시켰다. 기업가 Jonathan Goodman은 오프라인 환경에서 160만 달러 상당의 비트코인을 잃었다고 밝혔다. Goodman은 인터넷에 한 번도 연결된 적 없는 Coldcard 장치에 키를 보관하고 이를 은행 대여금고에 넣어두었다고 설명했는데, 이는 많은 사용자가 보수적이라고 여기는 구성이다. BlockTower Capital 설립자 Ari Paul은 어떤 커스터디 방식도 무위험이 아니라고 지적했다. 플랫폼 수탁은 거래 상대방 리스크와 법적 리스크를 수반하고, 개인 수탁은 하드웨어·소프트웨어·운영 리스크를 동반한다는 것이다. Paul은 또한 선진 시장의 법적 기관이 현재로서는 암호학적 통제 단독보다 더 신뢰할 수 있는 재산 보호를 제공할 수 있다고 덧붙였다. ShapeShift 설립자 Erik Voorhees는 이 사건이 암호화폐 자산의 안전한 보관 불가능을 증명하지는 않는다며 반박했지만, 어떤 모델도 완벽하지 않다는 점에는 동의했다. 이 논쟁은 가격이나 사상 최고가 기대보다 통제권에 초점을 맞추며, 논의를 절대적 보안에서 측정 가능한 트레이드오프로 이동시키고 있다. 이러한 프레이밍은 기관과 개인 모두에게 중요하다.

개인 계정들은 이 기술적 실패에 인간적 스케일을 부여하고 있다. 한 사용자는 수년간 정기적으로 저축해 온 3 BTC 이상, 약 20만 달러 상당의 자금이 사라졌다고 밝혔다. 이 사용자는 2022년 거래소에서 자금을 인출해 Coldcard로 옮긴 뒤, 주당 약 250달러씩 정기 매수하고 가끔 추가 입금을 했으며 잔고를 거의 확인하지 않았다고 전했다. 이 손실은 Coinkite의 7월 31일 긴급 펌웨어 업데이트가 완전한 해결책이 아닌 이유를 보여준다. 회사는 펌웨어 업데이트가 향후 시드 생성을 교정할 수 있지만, 이미 생성된 복구 문구에 엔트로피를 추가할 수는 없다고 경고했다. Coinkite의 권고사항은 사용자에게 장치 버전을 확인하고, 완전히 새로운 시드를 생성하고, 소액 트랜잭션으로 수신 주소를 테스트한 뒤 나머지 자금을 이체하라고 안내한다. 근본적 결함은 2021년 3월 코드 경로로 거슬러 올라가며, 이 경로는 하드웨어 난수 생성기를 우회할 수 있어 일부 키의 검색 공간이 의도된 것보다 훨씬 좁아졌다. 표준 콜드 스토어 절차를 따르는 비트코인 보유자에게 이번 실패는 레거시 시드에 능동적 마이그레이션이 필요하다는 경각심을 준다.

Galaxy Research의 온체인 포렌식 분석에 따르면, 세 번째 공격 파동은 측정 가능한 거의 모든 행동 차원에서 앞선 두 차례와 구별된다. 초기 파동이 P2WPKH 출력을 사용해 소수의 공유 수집 주소로 자금을 funneling하고 트랜잭션당 피해자 1명을 대상으로 한 반면, 최신 배치는 피해자마다 고유한 목적지 주소를 사용했고 트랜잭션당 약 6.37개의 피해자 입력을 통합했으며, 수익금을 P2WSH 지갑에 보관하면서 기본 파생 경로(default derivation path)만 스캔했다. Galaxy Research는 이러한 변화가 단일 운영자가 추적을 복잡하게 만들기 위해 도구를 재구성한 것일 수도 있고, 결함의 공개 공개 이후 동일한 취약 키 풀을 악용하는 별도 행위자일 수도 있다고 분석했다. Galaxy Research는 각 파동이 하나의 운영자에 의해 지휘됐다고 확신하지만, 세 파동 모두를 하나의 공통 주체로 연결하는 데까지는 나아가지 않았다. 주목할 점은 공격자 통제 주소에 있는 약 1,366.39 BTC 중 온체인에서 사용된 것이 아직 하나도 없다는 것이다.

Bloomberg Intelligence의 시니어 ETF 분석가 Eric Balchunas는 8월 2일, Coldcard 실패가 규제된 미국 현물 비트코인 ETF의 논거를 강화한다고 밝혔다. ETF는 개인 투자자에게서 시드 관리 의무를 제거하면서 민간 대안보다 낮은 수수료로 기관급 수탁을 제공한다는 것이다. Balchunas는 PitchBook과 LinkedIn 데이터에 따르면 Coinkite의 직원 수가 약 5명에 불과하다고 지적하며, 이 장치가 보호해야 할 자금 규모를 고려하면 적신호라고 평가했다. 그는 ETF 보유자가 직접 소유권, 24시간 네트워크 접근, 온체인 트랜잭션 기능을 포기한다는 점을 인정하며, 이 래퍼가 주로 가격 노출만을 추구하는 이들에게 적합하다고 덧붙였다. 아직 검증된 펀드 플로우 데이터가 이 사건과 새로운 ETF 수요를 연결하지는 못하고 있다. 그의 주말 게시 시점에 미국 시장이 휴장이었고, BlackRock의 최신 공식 수치는 그의 발언 이전에 발표된 것이기 때문이다.

(00:41 UTC 기준) COINOTAG의 독자적 42개 지표 복합 지지/저항 스코어링 엔진에 따르면, 비트코인은 63,405.99달러에 거래 중이며 Ichimoku Kijun, R2, BB Middle, SMA 20 컨플루언스가 부여한 64/100 점수의 63,996.83달러 저항선 바로 아래에 위치해 있다. 그 너머 가장 강한 상방 장벽은 EMA 100, Donchian Upper, Keltner Upper, LVN 시그널이 이끄는 63/100 점수의 66,978.04달러이며, 근접 지지선은 Fibo 0.214, S1, POC, SMA 50이 부여한 89/100 점수의 63,375.53달러다. 파생상품 포지셔닝은 약간 롱 편향이다. 펀딩 레이트는 0.0040%, 미결제약정은 128억 3,795만 달러, 롱/숏 계정 비율은 1.96이다. Fear & Greed 지수는 28/100으로 공포 구간에 있다. 63,996.83달러를 돌파하면 66,978.04달러를 향한 움직임이 열리지만, 63,375.53달러를 이탈하면 약세 MACD와 횡보 추세가 확인된다. 61,892.90달러 하회 시 단기 회복 시나리오는 무효화된다.