콜드카드 하드웨어 월렛에서 발생한 대규모 비트코인 탈취 사건이 암호화폐 개인 보관 시장 전체에 충격을 주고 있다.

해킹 사건 전후 장기보유자(Long-Term Holder) 지갑에서 약 23만3000 BTC가 이동한 것으로 나타나면서 단순한 피해 복구를 넘어 비트코인 장기 투자자들의 대규모 보안 재정비가 진행되고 있다는 분석이 나온다.

디크립트가 온체인 데이터 업체 체크온체인(Checkonchain) 자료를 인용해 보도한 내용에 따르면 콜드카드 해킹 사건이 발생한 시기를 전후해 장기보유자 지갑에서 이동한 비트코인은 약 23만3000 BTC에 달했다.

당시 가치로 약 150억달러 규모다. 특히 눈길을 끄는 것은 실제 탈취 피해와 이후 움직인 비트코인의 규모 차이다.

이번 콜드카드 펌웨어 취약점 공격으로 탈취된 비트코인은 약 2100 BTC로 추산되고 있으며 피해액은 약 1억3000만달러 수준으로 평가된다.

그런데 사건을 전후해 장기보유자 지갑에서 이동한 BTC는 23만3000개에 달했다. 단순 BTC 수량으로 비교하면 실제 탈취된 약 2100 BTC의 100배가 넘는 규모다.

이는 해킹 피해를 직접 입지 않은 비트코인 투자자들까지 자신의 자산 보관방식을 재점검하기 시작했다는 의미로 해석된다.

콜드카드 사태는 하드웨어 월렛을 사용하면 무조건 안전하다는 인식에도 경고를 던졌다.

하드웨어 월렛은 개인키를 인터넷과 분리된 장치에서 관리하기 때문에 일반적인 온라인 지갑보다 해킹 위험을 줄일 수 있다는 장점이 있다.

그러나 이번 사건은 하드웨어 자체가 오프라인 환경에 있더라도 개인키를 생성하는 펌웨어에 문제가 있다면 자산이 위험해질 수 있다는 점을 보여줬다.

이번 사건의 핵심은 콜드카드 일부 기기의 펌웨어에서 발견된 난수 생성 관련 취약점이다.

콜드카드 제조사 코인카이트(Coinkite)는 Mk3 제품에 대한 보안 공지를 발표했으며, 문제가 된 환경에서 생성된 시드(seed)의 무작위성이 예상보다 크게 떨어질 수 있었던 것으로 알려졌다.

디크립트는 지난달 말 초기 피해액을 약 3800만달러 규모로 보도했지만 이후 추가 공격이 확인되면서 전체 피해 추정치가 크게 증가했다.

암호화폐 지갑에서 시드는 사실상 모든 개인키의 출발점이다. 충분한 무작위성을 확보하지 못하면 공격자가 가능한 시드 조합을 추정해 개인키를 찾아낼 가능성이 높아진다.

즉 공격자가 하드웨어 월렛을 직접 훔치거나 인터넷을 통해 장치에 접속하지 않더라도 취약한 방식으로 생성된 키를 찾아내 자산을 탈취할 수 있는 위험이 발생한다. 이번 사고가 하드웨어 월렛 업계에 상당한 충격을 준 이유다.

더욱 주목되는 부분은 23만3000 BTC의 이동이 콜드카드 이용자들에게만 국한되지 않았다는 점이다.

멀티시그 보안업체 카사(Casa)의 닉 뉴먼 최고경영자(CEO)는 고객들과의 실제 대화를 근거로 일부 이동 물량이 레저(Ledger)와 트레저(Trezor) 이용자에게서도 발생했다고 설명했다.

콜드카드 해킹을 지켜본 다른 하드웨어 월렛 이용자들까지 보안 수준을 높이기 위해 자산을 옮겼다는 것이다.

일부 투자자들은 기존 단일 서명 방식의 지갑에서 멀티시그(Multi-signature) 지갑으로 BTC를 이전한 것으로 전해졌다.

멀티시그는 비트코인을 이동시키기 위해 여러 개의 개인키 가운데 사전에 정해진 수 이상의 서명이 필요한 구조다.

예를 들어 '2-of-3' 멀티시그에서는 세 개의 키 가운데 최소 두 개가 있어야 비트코인을 전송할 수 있다.

하나의 하드웨어 월렛이나 개인키가 공격받더라도 다른 키가 없다면 공격자가 임의로 BTC를 빼내기 어려워지는 것이다.

시장에서는 장기보유자 지갑에서 23만3000 BTC가 이동했다는 사실 자체만 보고 대규모 매도 가능성을 우려할 수도 있다.

하지만 이번 이동은 일반적인 장기보유자의 차익실현과 구분해서 볼 필요가 있다. 디크립트의 분석에 따르면 상당수 BTC가 매도를 위해 거래소로 이동했다기보다 보안 수준을 높이기 위한 새로운 지갑과 멀티시그 환경으로 이전된 것으로 파악됐다.

따라서 '장기보유자 23만3000 BTC 이동'을 그대로 '고래 150억달러 매도'로 해석하는 것은 적절하지 않다.

온체인 데이터에서는 기존 주소에서 새로운 주소로 BTC가 이동하면 장기보유자 공급에 변화가 나타날 수 있지만 실제 경제적 소유자는 그대로일 수 있기 때문이다.

특히 보안 사고 직후에는 이러한 자체 이전(self-transfer)이 대규모로 발생할 가능성이 있다.

이번 사고는 암호화폐 투자자들에게 중요한 보안 문제를 제기한다. 암호화폐 업계에서는 오랫동안 거래소에 비트코인을 보관하기보다 개인이 직접 개인키를 관리하는 셀프 커스터디가 보다 안전한 방법으로 평가돼 왔다.

그러나 셀프 커스터디 역시 완벽한 보안을 의미하지는 않는다. 하드웨어 제조사와 펌웨어, 시드 생성 과정, 백업 방식, 공급망 등 여러 단계 가운데 하나라도 문제가 발생하면 자산이 위험에 노출될 수 있다.

특히 수백만달러 이상의 암호화폐를 장기간 보유하는 개인이나 기관의 경우 단일 하드웨어 월렛에 모든 자산을 보관하는 방식 자체가 하나의 집중 위험(single point of failure)이 될 수 있다.

이번 사고 이후 멀티시그에 대한 관심이 높아지는 것도 이 때문이다. 콜드카드 사건은 특정 제조사만의 문제로 끝나지 않을 가능성이 있다.

레저와 트레저 등 다른 하드웨어 월렛 이용자까지 자산을 이동했다는 사실은 투자자들이 '어떤 제품이 안전한가'보다 '하나의 제품이나 제조사를 얼마나 신뢰해야 하는가'라는 근본적인 질문을 던지고 있다는 의미다.

실제로 하드웨어 월렛은 인터넷에서 개인키를 분리한다는 강력한 장점을 가지고 있지만 펌웨어와 암호화 구현 자체에 오류가 발생할 가능성을 완전히 제거할 수는 없다.

이에 따라 앞으로 대규모 비트코인 보유자들 사이에서는 서로 다른 제조사의 하드웨어 월렛을 조합한 멀티시그나 지리적으로 분산된 키 관리 등 보다 복잡한 보안 방식이 확대될 가능성이 있다.

결국 콜드카드 해킹의 충격은 약 1억3000만달러의 직접적인 피해액보다 훨씬 크게 나타나고 있다.

실제 탈취 규모의 100배가 넘는 23만3000 BTC가 장기보유자 지갑에서 움직였다는 것은 이번 사건이 비트코인 장기 투자자들의 보안 인식 자체를 흔들었다는 신호로 볼 수 있다.

특히 이번 대규모 이동이 매도가 아닌 안전한 보관처를 찾기 위한 '보안 대이동'이었다면 비트코인 시장의 가격 흐름보다 셀프 커스터디 시장의 변화가 더 중요한 후속 영향이 될 수 있다.

향후 콜드카드 사고에 대한 추가 피해 규모와 원인 분석, 하드웨어 월렛 제조사들의 보안 대응, 그리고 고액 비트코인 보유자들의 멀티시그 전환 움직임이 이어질지 주목된다.