가상자산 투자자들이 자산 보관 수단으로 신뢰해온 콜드월렛(하드웨어 지갑)에서 대규모 보안 사고가 발생했다.

유명 하드웨어 지갑 제조사 Coinkite의 ‘콜드카드(Coldcard)’ 일부 모델에서 취약점이 발견되면서 약 8900만 달러(약 1200억원) 규모의 비트코인이 탈취된 것으로 파악됐다.

블록체인 분석 업체 Galaxy Digital 산하 리서치 조직은 네트워크 데이터를 분석한 결과, 약 4500개 이상의 지갑 주소에서 총 1367 BTC가 빠져나간 정황을 확인했다고 밝혔다.

초기 공격에서는 약 41분 동안 1196개 주소에서 1082.65 BTC가 이동했으며, 이후 추가 공격이 이어지며 피해 규모가 확대됐다.

이번 공격은 콜드카드 Mk3 모델 일부 펌웨어에서 생성된 시드 문구가 노출될 가능성을 악용한 것으로 추정된다.

해커들은 미리 확보하거나 예측한 개인 키를 이용해 자동화 방식으로 자금을 이동시키는 ‘시드 엔트로피 스윕(Seed-Entropy Sweep)’ 방식으로 공격한 것으로 분석됐다.

특히 피해 지갑 대부분은 비트코인 표준 주소 형식인 네이티브 세그윗(BIP-84)을 사용하고 있었으며, 공격자는 높은 거래 수수료를 지불해 탈취 거래가 빠르게 처리되도록 하는 치밀한 움직임도 보였다.

코인카이트 측은 취약점을 인정하고 긴급 수정 버전을 배포했지만, 이미 취약한 펌웨어에서 생성된 시드는 안전하지 않을 수 있다며 사용자들에게 새로운 시드 생성과 자산 이동을 권고했다.

이번 사건으로 ‘개인이 직접 보관하는 것이 가장 안전하다’는 기존 인식에도 변화가 나타나고 있다.

과거 FTX 사태 당시 투자자들이 거래소에서 개인 지갑으로 자산을 이동했던 것과 달리, 최근에는 일부 투자자들이 오히려 거래소로 비트코인을 다시 이동시키는 현상도 관측되고 있다.

시장에서는 이번 사건이 하드웨어 지갑 제조사의 보안 검증 과정과 자기수탁 방식 전반에 대한 재점검 계기가 될 것으로 보고 있다.