가장 안전한 암호화폐 저장 방식으로 알려진 오프라인 하드웨어 지갑 '콜드카드(Coldcard)'에서 심각한 보안 취약점이 발견되어 1억 3천만 달러(약 1,700억 원) 이상의 비트코인이 도난당하는 사건이 발생했습니다. 블록체인 보안 기업들에 따르면, 최소 12개 이상의 해커 그룹이 이 취약점을 악용하여 콜드카드 사용자들을 표적으로 삼고 있으며, 피해 규모는 계속 늘어날 것으로 보입니다.
이번 해킹은 콜드카드가 사용자들의 시드 문구(seed phrase)를 생성하는 방식에 결함이 있었기 때문입니다. 시드 문구는 암호화폐 지갑의 비밀 키를 복구하는 데 사용되는 일종의 마스터 비밀번호로, 콜드카드는 이 시드 문구를 인터넷에 연결되지 않은 상태에서 생성하고 저장함으로써 '콜드 월렛(cold wallet)'으로서의 보안을 강조해왔습니다. 그러나 보안 연구원들은 해커들이 이 생성 방식의 예측 가능한 허점을 파악하여, 물리적으로 지갑을 탈취하지 않고도 시드 문구를 무차별 대입(brute-force) 방식으로 알아낼 수 있었다고 분석했습니다. 피해자 중 한 명인 조나단 굿맨(Jonathan Goodman)은 자신의 X(구 트위터)를 통해 160만 달러를 도난당했으며, 기기가 인터넷에 연결된 적이 없고 시드 문구를 공유한 적도 없었음에도 불구하고 하드웨어 자체의 취약점 때문에 피해를 입었다고 밝혔습니다.
이번 사건은 암호화폐 보안에 대한 기존의 통념을 흔들고 있습니다. 오프라인 하드웨어 지갑은 온라인 '핫 월렛(hot wallet)'에 비해 해킹 위험이 현저히 낮다고 여겨져 왔으나, 이번 콜드카드 사례는 하드웨어 자체의 설계 결함이 치명적인 결과를 초래할 수 있음을 보여주었습니다. 이는 사용자들이 아무리 주의를 기울여도 하드웨어 제조사의 보안 취약점 하나로 모든 자산을 잃을 수 있다는 경고를 던지며, 암호화폐 지갑 제조사들에게는 더욱 엄격한 보안 검증과 투명한 정보 공개의 필요성을 강조하고 있습니다. 콜드카드 제조사 코인카이트(Coinkite)는 사용자들에게 기기 업데이트와 새로운 시드 문구로의 마이그레이션을 권고했습니다.