콜드카드 취약점, 공격자만 15명?...업계 전문가 "2달러면 막았다"

▲ 암호화폐 해킹, 보안/AI 생성 이미지

콜드카드 지갑 취약점을 노린 공격자가 최소 15명에 달하는 것으로 나타났다.

8월 5일(현지시간) 암호화폐 전문 매체 코인텔레그래프에 따르면, 갤럭시디지털(Galaxy Digital)의 리서치 총괄 알렉스 손(Alex Thorn)은 사건 발생 이후 접수된 새로운 피해 신고를 인용해 최소 15명의 서로 다른 공격자가 콜드카드(Coldcard) 취약점을 악용했다고 밝혔다. 손은 화요일 이런 피해 신고 덕분에 그동안 드러나지 않았을 새로운 공격자들을 특정할 수 있었다며 이번 공격의 성격이 중앙화 거래소 해킹과는 다르다고 설명했다. 그는 "1BTC 미만을 도난당했다는 한 피해자의 단일 신고를 통해 126개 주소에서 12BTC가 빠져나간 새로운 공격을 확인했다"고 X에 올린 글에서 밝혔다.

갤럭시 리서치(Galaxy Research)에 따르면 콜드카드 취약점으로 인한 추정 손실액은 확인된 3차례의 공격 물결을 거쳐 1억달러까지 불어났다. 회사는 의심되는 4차 공격 물결도 확인했으며 이를 포함하면 전체 손실액이 비트코인(Bitcoin, BTC) 기준 약 1억 3,000만달러에 이를 수 있다고 밝혔다. 이번 공격이 이어지면서 콜드 스토리지 지갑의 보안성과 개인이 직접 비트코인을 보관하는 것이 더 안전한지에 대한 논쟁이 다시 불붙었다.

드래곤플라이(Dragonfly)의 매니징 파트너 하시브 쿠레시(Haseeb Qureshi)는 약 2달러 상당의 인공지능 강화 작업만으로도 이번 콜드카드 취약점을 막을 수 있었을 것이라고 밝혔다. 그는 일부 인공지능 모델이 20분도 안 돼 이번 공격으로 이어진 취약점을 재발견했다는 소셜미디어 보도를 인용했다. 쿠레시의 이런 발언은 클로드(Claude)가 단 8분 만에 이 취약점을 재현할 수 있었다고 주장하는 여러 소셜미디어 이용자들의 반응에 대한 답변으로 나왔다. 그는 이런 결과가 웹 검색으로 오염됐을 가능성이 있다고 주장하며 오픈소스 인공지능 모델인 GLM 5.2는 웹 접속을 끈 상태에서도 20분 만에 해당 공격을 재발견해냈다고 덧붙였다.

다만 암호화폐 분석 플랫폼 토크노미스트(Tokenomist)의 데이터 총괄 타사팟 사레짓티마(Tatsapat Saerejittima)는 인공지능 모델이 취약점이 공개되기 전에 독자적으로 이를 발견했을 가능성은 낮다고 코인텔레그래프에 밝혔다. 그는 "인공지능이 2분 만에 취약점을 찾아냈다는 주장은 취약점이 이미 공개된 이후 코드를 스캔한 한 익명의 레딧(Reddit) 이용자로부터 나온 것이다. 블라인드 테스트도 없었고 문서화된 방법론도 없었으며 모델의 오탐률에 대한 평가도 없었다"고 말했다.

암호화폐 리서치 기업 캐슬랩스(Castle Labs)의 공동창립자 프란체스코(Francesco)는 인공지능 모델의 역량이 커지면서 새로운 암호화폐 취약점을 찾는 데 드는 비용과 시간이 급격히 줄고 있다고 말했다. 다만 그는 콜드카드의 개인키 방식도 이번 취약점에 영향을 미쳤을 수 있다고 덧붙였다. 그는 "콜드카드는 펌웨어 버그 탓에 다른 지갑들이 채택한 표준보다 훨씬 낮은 수준인 40비트의 개인키 엔트로피를 사용했다. 12단어 시드의 128비트와 비교하면 공격이 훨씬 쉬워진 셈"이라고 코인텔레그래프에 말했다. 성을 밝히지 말아달라고 요청한 프란체스코는 인공지능 모델이 사이버보안과 취약점 공격 양쪽에서 더 두드러진 역할을 하게 되면서 버그 발견 비용은 앞으로도 계속 낮아질 것으로 예상한다고 말했다.

[기사 핵심 요약]

-갤럭시디지털은 최소 15명의 공격자가 콜드카드 취약점을 악용했으며 추정 손실액이 1억 3,000만달러에 이를 수 있다고 밝혔다.

-쿠레시는 약 2달러 상당의 인공지능 강화로 취약점을 막을 수 있었다고 주장했지만 사레짓티마는 이런 주장의 근거가 부실하다고 반박했다.

-프란체스코는 콜드카드의 낮은 개인키 엔트로피가 공격을 쉽게 만들었으며 인공지능 발전으로 취약점 발견 비용이 계속 낮아질 것이라고 전망했다.

*면책 조항: 이 기사는 투자 참고용으로 이를 근거로 한 투자 손실에 대해 책임을 지지 않습니다. 해당 내용은 정보 제공의 목적으로만 해석되어야 합니다.*