최근 발생한 콜드카드 해킹 사태로 인해 글로벌 암호화폐 커뮤니티가 큰 충격에 빠졌습니다. 철통 보안의 대명사로 불리던 비트코인 전용 하드웨어 지갑인 Coldcard에서 치명적인 소프트웨어 취약점이 발견되었기 때문입니다.
블록체인 분석 업체인 Galaxy Research에 따르면 이번 사태로 인해 탈취된 비트코인 규모가 이미 1억 달러(미화) 이상에 달하며, 미확인된 4차 공격 물량까지 합산될 경우 최대 1억 3,000만 달러까지 불어날 수 있다고 경고했습니다.
1. 하드웨어 지갑이란 무엇인가요?
항상 열려 있는 문: 소프트웨어 지갑(‘핫 월렛’)의 취약점
PC나 스마트폰에 앱 형태로 설치하는 지갑(예: 메타마스크, 엑소더스 등)을 통칭해 핫 월렛(Hot Wallet)이라고 부릅니다. 이 지갑들은 블록체인 네트워크와 실시간으로 소통해야 하므로 항상 인터넷에 연결(Online)되어 있습니다.
바로 이 점 때문에 사용자가 무심코 악성코드에 감염되거나, 피싱 사이트에 노출되거나, 기기 자체가 해킹당할 경우 지갑의 핵심인 ‘개인키(Private Key)’가 해커의 서버로 즉시 유출될 수 있다는 치명적인 위험을 안고 있습니다.
물리적으로 격리된 디지털 금고: 하드웨어 지갑(‘콜드 월렛’)의 작동 원리
반면, 이번에 문제가 된 Coldcard 같은 하드웨어 지갑(Hardware Wallet)은 인터넷이 전혀 연결되지 않는 독립된 오프라인 공간에서 작동합니다. 자산을 송금하거나 거래를 승인(서명)해야 할 때만 잠깐 컴퓨터나 기기에 연결되는데, 이때도 개인키 자체는 하드웨어 지갑 내부의 보안 칩(Secure Element) 밖으로 절대 빠져나가지 않습니다.
즉, 거래에 필요한 ‘서명’만 컴퓨터로 보내고 진짜 비밀번호(개인키)는 외부 해커가 절대 접근할 수 없는 물리적 장치 안에 꼭꼭 숨겨두는 방식입니다. 마치 은행 금고에 현금을 넣어두고, 거래할 때는 인출증만 창구로 밀어 넣는 것과 같은 원리입니다.
지갑이 해킹되면 비트코인이 통째로 사라지나요?
사실 하드웨어 지갑 기기 자체에 비트코인 코인이 직접 들어있는 것은 아닙니다. 비트코인은 블록체인 네트워크 상에 존재하며, 지갑은 오직 거래를 승인하고 서명하는 ‘디지털 서명(마스터 키)’을 보관합니다.
이번 해킹 사태처럼 지갑을 만드는 핵심 과정(난수 생성)에 결함이 있으면, 해커가 기기를 훔치지 않고도 마스터 키를 역설계하여 원격으로 자산을 빼갈 수 있다는 치명적인 약점이 드러나면서 전 세계 투자자들이 충격에 빠진 것입니다. 이번 콜드카드 해킹 사태는 오프라인 기기의 신뢰성에 큰 경종을 울렸습니다.
2. 콜드카드 해킹 사건의 전말: 뚫려버린 ‘가장 안전한 지갑’
캐나다 토론토에 본사를 둔 Coinkite가 개발한 콜드카드는 인터넷과 완전히 분리된 ‘콜드 스토리지’ 방식으로 운용되어 전 세계 비트코인 장기 투자자들에게 최고의 신뢰를 받아왔습니다.
취약점 발생 시점: 2021년 3월 이후 도입된 일부 펌웨어에 결함이 존재했습니다.
난수 생성 오류
원래는 Coldcard 하드웨어 내부에서 진정한 무작위 값을 만들어야 했으나, 2021년 3월 이후 도입된 일부 펌웨어는 예측 가능한 의사난수 생성기(Pseudo-random generator)를 사용했습니다. 이를 쉽게 비유하자면 “원래는 주사위를 무작위로 굴려 복구 단어를 만들어야 하는데, 문제의 펌웨어는 고장 난 규칙대로 주사위를 굴려서 해커가 다음에 나올 숫자를 쉽게 알아맞힐 수 있게 된 것”과 같습니다. 이 허점을 파고든 해커들은 물리적인 기기 탈취 없이도 지갑의 마스터 키인 시드 구문을 역산하여 자금을 빼돌릴 수 있었습니다.
이번 콜드카드 사태가 충격적인 이유
“오프라인에만 보관하면 안전하다”는 하드웨어 지갑의 철칙을 믿고 있었지만, 이번 사태는 지갑을 처음 만들 때(시드 구문 생성 과정) 제조사의 소프트웨어 오류로 인해 ‘예측 가능한 비밀번호’가 만들어졌다는 점이 핵심입니다.
즉, 금고의 문을 아무리 철저히 잠그고 오프라인에 두었더라도, 애초에 금고를 만들 때 “누구나 쉽게 열 수 있는 허술한 자물쇠”로 제작되었다면 기기를 해커에게 빼앗기지 않았더라도 원격으로 자산이 털릴 수 있다는 무서운 진실을 보여준 것입니다.
더욱 눈여겨볼 점은 탈취된 비트코인의 약 90%가 여전히 해커들의 최초 송금 지갑 주소 그대로 잠들어 있다는 사실입니다. 이는 블록체인 상의 추적을 의식해 자금을 아직 세탁하거나 이동시키지 않고 숨어 있는 것으로 분석되어 긴장감을 더하고 있습니다.
3. AI가 촉발한 새로운 보안 패러다임
이번 사태가 더욱 뼈아픈 이유는 단순한 휴먼 에러를 넘어섰기 때문입니다. Coinkite의 공동 창립자이자 CEO인 로돌포 노박(Rodolfo Novak)은 이번 사건의 배경으로 AI 기술의 진화를 지목했습니다.
AI 기반의 코드 분석 능력이 인간 전문가들의 예상을 뛰어넘는 속도로 숨겨진 취약점을 파고들고 있어, 오픈소스 펌웨어를 사용하는 모든 개발사들이 새로운 안보 위협에 직면했다고 경고했습니다. 특히 이번 콜드카드 해킹 사례처럼 사소한 소프트웨어 결함도 치명적으로 작용할 수 있습니다.
한편, 캐나다 현지에서는 암호화폐 관련 범죄와 스캠에 대한 경각심이 최고조에 달해 있습니다. 최근 연방 정부가 스캠 방지를 위해 비트코인 등 암호화폐 ATM 규제를 검토하고, BC주 전역에서 가상자산 관련 강력 사건들이 보도되는 등 밴쿠버 거주 투자자들에게는 철저한 자기 보안 관리가 필수적인 시점입니다.
오픈소스 펌웨어(Open-Source Firmware)는 개발사가 기기의 내부 작동 소스 코드(프로그램 원본)를 일반에 투명하게 공개하여, 누구나 코드를 검토하고 감사(Audit)할 수 있도록 만든 시스템입니다.
전 세계의 독립된 보안 전문가들과 해커들이 코드를 직접 검사하고 취약점을 미리 찾아낼 수 있다는 점에서 높은 신뢰를 얻어왔습니다.그러나 소스코드가 공개되어 있다는 것은 공격자(해커) 역시 마음만 먹으면 그 코드를 낱낱이 분석해 허점을 찾을 수 있다는 뜻입니다. 일단 결함이 내포된 채 배포될 경우 AI 분석 기술과 맞물려 치명적인 해킹 표적이 되기 쉽다는 새로운 보안 위협을 보여주었습니다.
4. 투자자가 지금 당장 취해야 할 행동 요령
캐나다는 최근 암호화폐 관련 범죄와 사기 행각에 대해 강력한 규제와 경고를 이어가고 있습니다. 밴쿠버 지역을 비롯해 캐나다 내에서 콜드카드를 사용 중인 투자자라면 자산 보호를 위해 즉시 아래 조치를 취해야 합니다.
“내 기기도 뚫렸을까?” — 취약점 확인 가이드: 이번 문제는 2021년 3월 이후 도입된 특정 펌웨어 버전에서 시드 구문을 생성한 경우에 해당합니다. 본인의 기기가 취약 대상인지 정확히 확인하려면 제조사 공식 블로그의 Coldcard Mk3 Seed Generation Warning 공지사항을 방문하여 해당 펌웨어 버전을 사용했는지 대조해 보아야 합니다.
지갑 상태 확인 및 즉시 마이그레이션: 최신 펌웨어 업데이트는 앞으로 생성될 지갑을 보호할 뿐, 이미 취약한 상태로 생성된 기존 시드 구문 자체는 여전히 위험합니다. 자산을 안전한 거래소나 새로운 시드 구문이 생성된 지갑으로 즉시 옮기세요.
안전한 자산 이동(마이그레이션) 실무 팁: 급하게 자산을 이동하다 보면 과도한 네트워크 수수료(Fee)를 지불하거나, 검색을 통해 가짜 피싱 사이트에 접속해 자산을 통째로 잃는 치명적인 2차 피해가 발생할 수 있습니다. 따라서 반드시 제조사 공식 채널 및 소프트웨어만을 통해 접속해야 하며, 본격적인 자산 이동 전 소액으로 먼저 테스트 전송을 진행하여 주소가 정확한지 확인하는 것이 리스크를 예방하는 가장 확실한 방법입니다.
기기 보관 필수: 제조사는 향후 법 집행기관과의 공조 및 자금 회수 가능성을 대비해 피해 기기를 임의로 폐기하지 말고 안전하게 보관할 것을 당부했습니다.
5. [Brief English] 핵심 영어 표현 3가지
해외 가상자산 보안 뉴스를 모니터링할 때 꼭 알아두어야 할 실무 영어 표현입니다.
- Hardware wallet (하드웨어 지갑)
인터넷과 차단된 물리적 장치에 개인키를 보관하는 오프라인 보안 지갑입니다.
A hardware wallet adds an extra layer of security. (하드웨어 지갑은 보안을 한 층 더 강화해 줍니다.) - Seed phrase (시드 구문)
암호화폐 지갑을 복구하기 위한 무작위 단어 조합으로, 지갑의 마스터 키 역할을 합니다.
Never share your seed phrase with anyone. (시드 구문은 절대 누구에게도 공유하지 마세요.) - Reverse-engineer (역설계하다 / 역산하다)
시스템의 구조를 분석해 원리를 파악해 내는 것으로, 이번 해커들이 키를 유추해 낸 방식입니다.
Hackers were able to reverse-engineer the wallet keys. (해커들이 지갑 키를 역산해 낼 수 있었습니다.)
‘오프라인 보관은 영원히 안전하다’는 암호화폐 업계의 오랜 믿음이 이번 콜드카드 해킹 사태로 인해 큰 시험대에 올랐습니다. 기술이 고도화될수록 이를 악용하는 해킹 수법 역시 AI 등을 통해 진화하고 있습니다. 밴쿠버를 비롯한 글로벌 투자자들은 단 하나의 보안 장치에만 자산을 의존하지 말고, 정기적인 펌웨어 확인과 신속한 자산 분산(마이그레이션) 전략을 통해 스스로의 자산을 지켜야 할 때입니다.
뉴스 출처:
What we know about ongoing Coldcard hack that’s stolen over $100M worth of bitcoin
더 많은 밴쿠버 생활 정보가 궁금하신가요? 밴쿠버 뉴스 브리프 홈페이지에서 확인하세요.