콜드카드 하드웨어 지갑, 치명적 결함 유출..."오류 하나에 1,082BTC 탈취"

▲ 암호화폐 탈취, 사이버 보안, 해킹/AI 생성 이미지

콜드카드 하드웨어 지갑의 치명적 보안 결함이 드러났다. 비트코인(Bitcoin, BTC) 잠재 탈취 규모는 1,082.59BTC까지 불어났다.

7월 31일(현지시간) 암호화폐 전문 매체 유투데이에 따르면, 블록(Block)은 콜드카드(Coldcard) 하드웨어 지갑 여러 세대에 영향을 미치는 보안 취약점 2건을 공개했다. 대상 제품은 Mk2와 Mk3, Mk4, Q, Mk5이다. 블록은 자사 제품인 비트키(Bitkey)를 포함한 모든 제품이 이번 취약점의 영향을 받지 않았다고 밝혔다.

블록은 비트키가 아닌 지갑에서 비트코인이 원격 탈취됐다는 신고를 접수한 뒤 조사에 착수했다. 공격은 약 1시간 동안 단일서명 지갑을 집중적으로 노렸으며, 연구진은 공격이 아직 이어지고 있을 가능성을 제기했다. 보안 강도가 낮은 25번째 단어 암호문을 사용한 지갑과 일부 다중서명 설정도 위험에 노출될 수 있다.

Mk2와 Mk3에서는 코딩 오류가 발견됐다. 지갑 생성 과정에서 하드웨어가 만든 충분한 난수 대신 예측 가능한 값이 사용됐다. Mk4와 Q, Mk5는 부팅 과정에서 보안 요소의 입력값으로 무작위성을 높이도록 설계됐지만, 결함 탓에 추가 난수 범위가 32비트로 줄었다. 취약한 펌웨어에서 생성한 시드 문구는 다른 지갑으로 가져와도 위험이 사라지지 않는다.

블록은 콜드카드 제조사 코인카이트(Coinkite)에 조사 결과를 비공개로 전달한 뒤 취약점을 공개했다. 블록 엔지니어 맥스 가이스(Max Guise)는 “영향을 받은 사용자는 안전하게 처리할 수 있는 즉시 자금을 옮길 것을 권고한다”고 밝혔다. 기존 시드 문구를 재사용하지 않고 안전한 환경에서 새 지갑을 생성한 뒤 자금을 이전해야 한다는 경고이다.

보안 엔지니어 클레이 개릿(Clay Garrett)은 동일한 온체인 흔적을 남긴 과거 거래 695건을 추가로 확인했다. 해당 거래에 포함된 물량은 488.11BTC이다. 블록의 예비 분석에서 잠재 탈취 물량은 총 1,082.59BTC로 집계됐다.

[기사 핵심 요약]

-콜드카드 Mk2·Mk3·Mk4·Q·Mk5에서 지갑 생성 난수와 관련된 치명적 취약점이 발견됐다.

-취약한 펌웨어에서 만든 시드 문구는 다른 지갑으로 가져와도 탈취 위험이 사라지지 않는다.

-동일한 공격 흔적이 확인된 잠재 탈취 물량은 예비 분석 기준 총 1,082.59BTC이다.

*면책 조항: 이 기사는 투자 참고용으로 이를 근거로 한 투자 손실에 대해 책임을 지지 않습니다. 해당 내용은 정보 제공의 목적으로만 해석되어야 합니다.*