COLDCARD 펌웨어 결함으로 네 차례 Bitcoin 공격파에서 1억 1,500만 달러 유출

무슨 일이 있었나

4차 조직적 공격이 이뤄지기까지 800개 이상의 COLDCARD 지갑이 비워졌다. 각 지갑은 장치가 개인 키를 생성하는 방식에 존재하는 펌웨어 수준의 단일 결함을 통해 탈취됐다. BeInCrypto ES에 따르면, 확인된 첫 세 차례의 공격파에서 4,585개 주소로부터 1,367.05 BTC가 쓸려갔다. DiarioBitcoin에 따르면 4차 공격파에서 462명의 신규 피해자와 486 BTC가 추가됐으며, 보고된 총 손실액은 1억 1,500만 달러에 달했다.

초기 수치가 시사하는 것보다 공격 범위는 더 넓다. CoinDesk는 8월 4일 2013년 이후 잠들어 있던 12년된 Bitcoin 지갑이 이번 침해로 촉발된 광범위한 이주 물결의 일환으로 3,100만 달러를 이동시켰다고 보도했다. 2013년부터 잠들어 있던 여러 지갑이 갑자기 활성화됐으며, 이는 엔트로피 결함이 초기 공격파 수치가 암시하는 것보다 훨씬 넓은 세대의 장치에 영향을 미쳤음을 시사한다.

더 우려스러운 점은, DiarioBitcoin이 Anthropic의 Claude AI 모델이 펌웨어 코드에 접근한 뒤 단 8분 만에 핵심 취약점을 식별했다고 보도한 것이다. 이 발견 속도는 해당 결함이 출시 하드웨어에 얼마나 오랫동안 발견되지 않고 방치됐는지를 여실히 보여준다.

공격 방식

취약점 유형은 비무작위 개인 키 생성이다. COLDCARD 난수 생성기(RNG) 내부에 약한 엔트로피 소스가 존재한다. Bitcoin 개인 키는 최소 256비트의 암호학적으로 안전한 엔트로피 풀에서 추출돼야 한다. RNG가 불충분한 무작위성을 가진 값을 생성하면, 해당 키는 가능한 키 공간 전체에 균일하게 분산되지 않고 일부에만 집중된다.

공격자는 이 축소된 키 공간을 프로그래밍 방식으로 스캔해 장치가 생성했을 동일한 키를 만들어낸 뒤 자금이 있는 주소를 쓸어간다. 이 방법은 상당한 연산 능력이 필요하지만, 목표 풀이 충분히 좁아지면 완전히 실행 가능하다. 결함이 키 생성 단계에 존재하기 때문에, 장치의 에어갭 특성은 아무런 보호를 제공하지 못한다. 에어갭은 네트워크 침입을 막을 수 있지만, 처음 생성 시점부터 수학적으로 취약한 키는 보호할 수 없다.

Decrypt는 에어갭 지갑이 해커에 대한 노출을 줄이지만 장치 자체에서 비롯된 위협에는 면역이 없다고 지적했다. DiarioBitcoin이 인용한 Jameson Lopp은 이 익스플로잇이 "믿지 말고 검증하라"는 원칙의 실질적 한계를 드러낸다고 주장했다. 대부분의 사용자는 펌웨어 수준의 엔트로피 생성을 감사할 수 없으므로, 결함이 실제로 존재하는 바로 그 지점에 신뢰를 두게 된다.

위험에 처한 사용자 자금

영향받은 COLDCARD 펌웨어 버전으로 생성된 지갑에 보유된 모든 자금이 위험에 처해 있다. 세 차례의 공격파에서 확인된 총 피해는 4,585개 주소에서 1,367.05 BTC이며, DiarioBitcoin에 따르면 4차 공격파에서 462개 주소와 486 BTC가 추가됐다. 이미 탈취된 지갑의 복구 가능성은 사실상 제로다. Bitcoin 거래는 설계상 되돌릴 수 없으며, ZachXBT는 커뮤니티 지원 부재를 이유로 도난 자금 추적을 거부했다. 이로써 대형 도난 후 실행 가능한 정보를 생산하는 몇 안 되는 메커니즘 중 하나가 사라졌다.

ForkLog가 인용한 온체인 데이터는 보유자들이 잔여 자금을 거래소가 아닌 새로운 지갑으로 이전하고 있음을 보여준다. 이는 슬리피지를 유발하지 않고 추가 노출을 제한하는 합리적인 조치다. Glassnode 데이터는 이 소식이 알려진 날 8개의 온체인 지표가 2년 중앙값을 크게 상회하는 값을 기록했음을 확인했으며, 이는 조직적 이주 활동의 규모를 반영한다.

피해는 COLDCARD 사용자를 넘어 이미 확산되고 있다. BeInCrypto는 연관성에 의한 패닉이 Ledger의 평판에 영향을 미치고 있으며, 사용자들이 하드웨어 지갑 보안 부문 전반에 의문을 품고 있다고 보도했다. 이번 침해는 단일 펌웨어 패치로는 빠르게 해소할 수 없는 자가 수탁에 대한 광범위한 신뢰 위기를 열었다.

패턴 인식

이 익스플로잇 유형에는 명확한 역사적 선례가 있다. 2013년 Android RNG의 심각한 결함이 Bitcoin 지갑 앱에 약한 엔트로피를 생성해 공격자들이 ECDSA 서명에서 개인 키를 재구성할 수 있게 했다. 공격 표면과 방법론은 COLDCARD와 완전히 일치한다. 유효해 보이지만 예측 가능한 키 공간의 하위 집합에 속하는 키를 생성하는 펌웨어 수준의 RNG가 그 핵심이다. 개발자들은 긴급 패치를 발행했지만, 취약한 Android 버전에서 생성된 주소에서 상당한 자금이 쓸려간 뒤였다.

2022년 Profanity 배니티 주소 생성기 해킹이 구조적으로 더 가까운 유사 사례다. Profanity는 32비트 시드를 사용해 Ethereum 주소를 생성했으며, 연구자들은 전체 키 공간을 일반 GPU 하드웨어로 몇 시간 안에 무차별 대입할 수 있음을 입증했다. Wintermute만으로도 이 도구로 생성된 주소에서 1억 6,000만 달러를 잃었다. Profanity의 교훈은 충분히 널리 배우지 못했고, 거의 4년 후 COLDCARD는 다른 체인, 다른 폼 팩터에서 동일한 구조적 오류를 반복했다.

2018년 IOTA 시드 도난이 이 패턴을 완성한다. 제3자 온라인 시드 생성기가 약한 엔트로피로 시드를 생성했고, 동일한 생성기를 실행한 공격자들이 피해자의 시드를 복구해 IOTA 네트워크를 직접 건드리지 않고도 지갑을 비웠다. 세 사례 모두의 공통점은 사용자에게 올바른 인터페이스를 제공하지만, 보안이 실제로 존재해야 하는 통계적 수준에서 실패하는 생성기다.

지금 해야 할 일

COLDCARD로 생성된 주소의 자금을 즉시 다른, 영향받지 않은 장치로 생성한 새 주소로 옮겨라. 문서화된 엔트로피 소스를 갖춘 에어갭 기계에서 오픈 소스 소프트웨어 지갑을 사용하거나, 깨끗한 감사 기록을 가진 다른 제조사의 하드웨어 지갑을 사용하라. Coinkite가 검증된 펌웨어 패치를 발행하고 독립 감사가 RNG 수정을 확인할 때까지 새로운 COLDCARD 주소를 생성하지 마라. 펌웨어를 업데이트해도 취약한 버전에서 이미 생성된 키는 보호되지 않는다.

BeInCrypto ES와 DiarioBitcoin이 확인한 다중 공격파 패턴은 공격자들이 단일 패스가 아닌 지속적으로 취약한 키 공간을 스캔하고 있음을 보여준다. 위협은 지금도 활성화돼 있다. 아직 탈취되지 않았다면, 다음 공격파가 당신의 주소에 도달하기 전에 행동하라.

이주 시 ForkLog가 경험 많은 보유자들이 취하는 방식으로 확인한 대로, 거래소가 아닌 새로운 자가 수탁 주소로 자금을 보내라. 공개적으로 감사된 엔트로피 소스를 갖춘 장치에서 새 시드를 생성하고, 시드 구문을 물리적으로 분리된 두 곳 이상에 종이로 백업하며, 잔액을 단일 거래로 통합해 잔액이 남지 않도록 하라.

앞으로는 하드웨어 지갑을 평가할 때 엔트로피 감사 가능성을 최소 요건으로 삼아라. RNG 구현이 비공개 소스이거나 공개된 독립 엔트로피 테스트가 없는 장치는 상당한 자금을 보유해서는 안 된다. "믿지 말고 검증하라"는 기준은 트랜잭션 서명뿐만 아니라 키 생성 자체에도 적용돼야 한다.

자주 묻는 질문

아직 탈취되지 않은 COLDCARD 지갑도 위험한가요?

그렇다. 공격은 여러 날에 걸쳐 네 차례의 확인된 공격파로 전개됐으며, 키 공간 스캔이 계속되는 것으로 보인다. 영향받은 펌웨어 버전으로 생성된 모든 지갑은 다른 영향받지 않은 장치로 생성된 주소로 자금이 이동될 때까지 위험에 처해 있다.

COLDCARD 해킹에서 도난된 자금을 회수할 수 있나요?

아니다. Bitcoin 거래는 되돌릴 수 없으며, ZachXBT는 커뮤니티 지원 부재를 이유로 해킹 추적을 거부했다. 이로써 공격자 주소를 식별하는 몇 안 되는 현실적인 경로 중 하나가 사라졌다.

이 익스플로잇이 Ledger 같은 다른 하드웨어 지갑에도 영향을 미치나요?

Ledger 장치가 동일한 RNG 결함을 공유한다는 확인된 증거는 없다. BeInCrypto가 보도했듯이, COLDCARD를 둘러싼 패닉이 연관성에 의해 Ledger의 평판을 손상시켰지만, 기술적 취약점은 현재 단계에서 COLDCARD 펌웨어에만 해당한다.