"가장 안전하다던 지갑이 털렸다"…비트코인 업계 충격

'Not your keys, not your coins(내 키가 아니면 내 코인이 아니다).'

비트코인 업계에서 셀프 커스터디(Self Custody)는 가장 안전한 보관 방식으로 여겨져 왔다.

하지만 이번에는 그 믿음을 흔드는 사건이 발생했다.

SNS와 커뮤니티에는 Coldcard 사용자들이 "0.175 BTC가 사라졌다", "2.5 BTC를 도난당했다", "몇 년 동안 모은 비트코인이 모두 사라졌다"는 피해 사례를 잇달아 공개하고 있다.

특히 일부 이용자는 제조사가 시드 생성 과정에서 발생한 취약점을 뒤늦게 인정했다며 강한 불만을 제기하고 있다.

현재까지 확인된 사실은 다음과 같다.

• Coinkite는 Coldcard Mk3에서 2021년 3월(펌웨어 4.0.1) 이후 생성된 일부 시드가 위험할 수 있다고 공지했다.

• 원인은 시드 생성(Random Number Generator·RNG)의 엔트로피(무작위성) 문제 가능성으로 조사되고 있다.

• 공격자는 무작위성이 충분하지 않은 시드를 추측해 개인키를 복원했을 가능성이 제기되고 있다.

• 제조사는 해당 사용자의 자산을 새로운 시드로 즉시 이전할 것을 권고했다.

현재까지는 비트코인 프로토콜이 해킹된 것이 아니라, 특정 하드웨어 지갑의 시드 생성 과정에서 발생했을 가능성이 있는 보안 문제로 보는 것이 정확하다.

'콜드월렛은 무적'이라는 신화가 깨졌다

이번 사건이 시장에 던진 메시지는 명확하다.

셀프 커스터디는 거래소 리스크를 줄여주지만 하드웨어 자체가 완벽한 것은 아니라는 점이다.

비트코인의 핵심은 개인키다.

그리고 개인키의 시작은 시드(Seed Phrase) 다.

만약 시드 생성 과정의 무작위성이 약해진다면, 사용자가 아무리 오프라인에 보관했더라도 공격자가 이를 추측할 가능성이 생긴다.

오히려 멀티시그 시대가 빨라질 수도

이번 사건으로 업계에서는 멀티시그(Multi-Signature) 채택이 더욱 빨라질 것이라는 전망이 나온다.

멀티시그는 하나의 시드만으로 자산을 보호하는 것이 아니라 여러 개의 서로 다른 키를 동시에 요구하는 방식이다.

예를 들어 3개의 키 가운데 2개가 있어야 자산을 이동할 수 있는 구조라면, 특정 제조사의 시드 생성 문제가 발생해도 전체 자산이 한 번에 탈취될 가능성은 크게 낮아진다.

실제로 커뮤니티에서도 패스프레이즈(BIP39 Passphrase) 사용이나 다른 제조사의 하드웨어 월렛과 조합한 멀티시그를 권장하는 목소리가 커지고 있다.

암호화폐 시장에는 악재일까?

단기적으로는 하드웨어 월렛 제조사들에 대한 신뢰가 흔들릴 가능성이 있다.

하지만 장기적으로는 오히려 보안 기술이 한 단계 발전하는 계기가 될 수 있다는 분석도 나온다.

이번 사건을 계기로 시장은 다음과 같은 방향으로 발전할 가능성이 크다.

• 멀티시그 보편화

• 오픈소스 시드 생성 검증 확대

• 엔트로피(Randomness) 감사 강화

• 하드웨어 월렛 제조사 보안 경쟁 심화

• 사용자 대상 보안 교육 확대

즉 이번 사건은 비트코인의 실패가 아니라, 셀프 커스터디 보안 모델이 한 단계 진화하는 과정으로도 볼 수 있다.