콜드카드 사태, 한국은 피해 '제로'..."'이 습관' 덕에 살았다'

▲ 아이폰, 암호화폐 해킹/AI 생성 이미지

콜드카드(Coldcard) 해킹으로 1,596BTC 이상이 탈취됐다. 반면, 한국 비트코인 보유자들은 독자적인 시드 생성 관행을 바탕으로 직접 피해를 거의 피했다.

8월 6일(현지시간) 암호화폐 전문 매체 비인크립토에 따르면, 한국 비트코인 커뮤니티에서는 콜드카드 이용자가 적지 않았음에도 뚜렷한 직접 피해가 거의 보고되지 않았다. 이번 공격은 일부 콜드카드 기기의 잘못된 난수 생성 기능에서 시작됐다. 3차례 확인된 공격과 소규모 사건에서 약 7,300개 주소가 피해를 봤으며, 1,596BTC 이상이 탈취됐다. 추가 의심 사례까지 포함한 피해 추정액은 약 1억 3,000만달러다.

난수는 지갑 접근 권한을 결정하는 시드 문구를 만드는 핵심 요소다. 난수의 무작위성이 부족하면 공격자가 시드 문구를 추정할 가능성이 커진다. 콜드카드는 남아 있던 취약 제품을 폐기하고 이용자들에게 새로운 시드를 생성하라고 권고했다.

한국 이용자들은 하드웨어 지갑이 자체 생성한 난수에 의존하지 않는 방식을 택했다. 주사위를 굴리거나 동전을 던져 난수를 직접 만들고, 인터넷과 분리된 환경에서 BIP39 시드 문구를 생성했다. 12개 단어 시드는 동전을 128차례, 24개 단어 시드는 256차례 던져 만드는 방식도 활용했다. 변환 과정에서는 스마트폰 대신 하드웨어 계산기와 인쇄된 BIP39 단어 목록을 사용했다.

분석가 고지 히가시(Koji Higashi)는 한국 커뮤니티가 피해를 피한 배경을 개인의 기술 수준보다 자가 보관 방식에 내재된 구조적 습관에서 찾았다. 일부 이용자는 SeedSigner를 검증값 계산에만 사용했고, 주사위로 만든 추가 비밀번호나 별도 난수도 적용했다. 반면 영어권 커뮤니티에서는 콜드카드 제조사 코인카이트(Coinkite)와 상업적 관계가 있는 영향력 있는 인물들을 과도하게 신뢰하면서 피해가 커졌다는 분석이다.

히가시는 비슷한 견해만 반복되는 정보 환경도 위험을 키웠다고 지적했다. 한국 커뮤니티 지도자들은 제조사와 상업적·개인적 이해관계가 비교적 적어 제품의 보안성을 독립적으로 판단하고 이용자들에게 직접 난수를 만들도록 권고했다. 이번 사태는 “신뢰하지 말고 검증하라”는 원칙을 코드뿐 아니라 정보 제공자와 하드웨어 제조사에도 적용해야 한다는 교훈을 남겼다.

[기사 핵심 요약]

-콜드카드 취약점을 악용한 공격으로 1,596BTC 이상이 탈취됐으며 의심 사례를 포함한 피해액은 약 1억 3,000만달러로 추산됐다.

-한국 비트코인 보유자들은 주사위와 동전으로 난수를 만들고 BIP39 시드를 오프라인에서 생성해 직접 피해를 거의 피했다.

-제조사와 영향력 있는 인물을 맹신하지 않고 모든 보안 절차를 독립적으로 검증하는 관행이 핵심 방어책으로 제시됐다.

*면책 조항: 이 기사는 투자 참고용으로 이를 근거로 한 투자 손실에 대해 책임을 지지 않습니다. 해당 내용은 정보 제공의 목적으로만 해석되어야 합니다.*