비트코인 하드월렛인 콜드카드가 해킹 공격을 받아 업계에 파장을 일으켰다. 해당 공격은 펌웨어 결함을 노린 탈취 공격으로, 최소 1,367 BTC(1,100억 원)가 유출된 것으로 확인됐다. 피해는 세 차례의 공격에 걸쳐 4,500개 이상의 콜드 스토리지 주소에서 발생했다. 이번 공격은 기기에 물리적으로 접근하지 않고, 오직 수학적 계산만으로 개인키를 재구성해 탈취한 것이 특징이다.
이번 사건의 관건은 콜드월렛의 전제 조건인 ‘오프라인 저장 키의 안전성’이 무너졌다는 점이다. 물리적 접근이 불가능한 상태라 할지라도, 생성 과정에 결함이 있다면 얼마든지 추측과 복원이 가능하다는 것이 이번 공격으로 증명된 것이다.
Galaxy Research: Three Suspected Attacks on Coldcard-Generated Addresses Drain 1,367 BTC
Galaxy Research said its Bitcoin on-chain analysis identified three suspected attack waves targeting addresses generated by Coldcard, involving 4,585 addresses and a total of 1,367.05 BTC… pic.twitter.com/JdSz4W1TIk
— Wu Blockchain (@WuBlockchain) August 1, 2026
결함 있는 난수 생성기가 무너뜨린 콜드월렛
콜드카드를 개발한 코인카이트는 2021년 3월 배포된 펌웨어로 인해 보안 취약점이 발생했음을 인정했다.
해당 펌웨어는 하드웨어 난수 생성기를 사용하는 대신 칩의 시리얼 번호와 클록 레지스터 정보에 의존했다. 이로 인해 암호학적으로 천문학적이어야 할 ‘키 생성 경우의 수’가 연산 가능한 수준으로 대폭 줄어들어든 것이다.
공격자들은 이를 악용해 시드 후보군을 대량으로 생성한 뒤, 이에 대응하는 비트코인 주소를 도출하고 실제 블록체인상에 잔액이 존재하는지 대조했다. 이 모든 과정은 피해자의 기기 조작 없이 오프라인 계산과 공개 데이터 조회만으로 진행됐다.
갤럭시 리서치에 따르면, 7월 30일 발생한 1차 공격에서 단 41분 만에 1,196개 주소로부터 1,082.65 BTC가 탈취됐다.
이어 발생한 추가 공격에서는 피해자 다수를 단일 트랜잭션에 묶어 처리하는 고도화된 수법이 사용됐으며, 1,912개 주소에서 약 208 BTC가 추가 유출됐다. 갤럭시 측은 세 차례의 공격이 동일한 주체의 소행일 것으로 추정하고 있으나, 모든 연관성을 공식 입증하진 못했다.
피해 기기 범위 및 대응책
코인카이트는 펌웨어 버전 4.0.1 이상이 탑재된 Mk3 기기 사용자에게 주의를 당부했으나, 이후 일부 Mk4, Mk5, 콜드카드 Q 버전까지 경고 대상을 확대했다. 회사 측은 긴급 펌웨어 업데이트를 배포했으며, 로돌포 노박 CEO는 해당 버그에 대해 “모든 책임을 지겠다”며 공식 사과했다.
다만 취약한 환경에서 이미 생성된 시드는 펌웨어를 업데이트하더라도 보안이 회복되지 않는다. 따라서 사용자는 반드시 새 펌웨어에서 새로운 시드 구문을 생성한 뒤 자금을 완전히 이체해야 한다.
잔3(Jan3)의 샘슨 모 CEO는 지속적인 공격 가능성을 경고하며 모든 콜드카드 사용자에게 즉각적인 자금 이동을 권고했다. 블록의 클레이 가렛은 이번 공격 과정에서 출처 주소를 식별하는 데 유료 계정이 사용되었으며, 관련 정보는 수사 당국에 전달되었다고 밝혔다.
셀프 커스터디, 여전히 리스크 존재
이번 사건은 근래 암호화폐 시장에서 두드러진 보안 경향을 잘 보여준다. 인프라 및 키 유출 사고의 발생 건수 자체는 적지만, 피해 금액 면에서는 업계 전체 손실의 대부분을 차지하고 있다는 점이다.
엑스를 포함한 소셜미디어에서는 AI 도구가 공격에 활용되었을 가능성이 제기되었으나, 코인카이트나 블록 측은 이에 대해 공식 확인하지 않았다.
이번 콜드카드 사태는 콜드월렛의 핵심 보안성이 결국 ‘키 생성 방식의 무작위성’에 달려 있다는 원칙을 상기시킨다. 갤럭시리서치는 취약한 키 공간을 연산하고 분석하는 비용이 급격히 낮아짐에 따라 업계 전반의 난수 검증 표준을 상향해야 한다고 지적했다.
비트코인을 오프라인으로 보유 중인 사용자라면, 자신이 사용하는 콜드카드 펌웨어가 코인카이트의 권고 대상에 해당하는지 즉시 확인하기 바란다.
99비트코인을 신뢰할 수 있는 이유
2013년에 설립된 99비트코인 팀은 비트코인 초창기 시절부터 암호화폐 전문가로 활동해 왔습니다.
주간 리서치
10만명 이상월간 독자
전문가 팀
2000개 이상크립토 프로젝트 리뷰
