비트코인 하드웨어 월렛 콜드카드(Coldcard) 이용자를 대상으로 발생한 탈취 사건의 누적 피해 규모가 최소 1778 BTC로 늘어난 것으로 집계됐다.

보도 시점 비트코인 가격을 기준으로 약 1억1200만달러에 해당하는 규모다. 초기 추정치보다 추가 피해 주소와 자금 이동 내역이 확인되면서 피해액이 계속 확대됐다.

갤럭시리서치는 현재까지 3건의 주요 공격 흐름과 30건 이상의 소규모 공격 흔적을 추적하고 최소 33개의 해커 관련 주소를 식별했다고 밝혔다.

추적 결과 탈취된 비트코인 가운데 약 1531 BTC는 여전히 해커가 통제하는 것으로 추정되는 주소에 남아 있다. 나머지 약 246 BTC는 해당 주소에서 외부로 이동한 것으로 파악됐다.

갤럭시리서치는 해커 추정 주소 목록을 가상자산 거래소와 사법당국, 블록체인 조사기관 등에 전달했다. 거래소로 자금이 유입될 경우 계정 동결이나 신원 확인으로 이어질 가능성이 있지만, 개인 지갑이나 탈중앙화 거래 경로를 이용하면 추적과 회수가 어려워질 수 있다.

다행히 지난 6일(현지시간) 이후에는 새로운 공격 흐름이 감지되지 않은 것으로 전해졌다. 그러나 추가 공격이 멈췄다는 사실만으로 노출된 지갑이 안전해진 것은 아니다.

이번 사건은 일반적으로 표현되는 ‘콜드카드 해킹’과 실제 공격 구조를 구분해서 볼 필요가 있다. 현재까지 알려진 내용으로는 해커가 인터넷을 통해 하드웨어 월렛 기기에 직접 접속한 사건이라기보다, 특정 펌웨어에서 생성된 복구용 시드의 무작위성이 약해졌을 가능성이 핵심으로 지목된다.

복구용 시드는 월렛에 보관된 비트코인을 통제하는 모든 개인키의 출발점이다. 시드 생성 과정에서 충분한 무작위성이 확보되지 않으면 공격자가 가능한 조합을 계산해 개인키를 추정할 수 있다.

이 경우 하드웨어 월렛을 인터넷에 연결하지 않고 보관했더라도 자산이 탈취될 수 있다. 비트코인은 실제 기기 안에 저장되는 것이 아니라 블록체인에 기록되며, 기기는 자산을 이동시키는 개인키를 보호하는 역할을 하기 때문이다.

콜드카드 제조사 코인카이트는 보안 업데이트를 배포하고 이용자들에게 기존 자산을 새로운 시드 기반 주소로 이전하도록 안내한 것으로 전해졌다. 단순히 펌웨어만 업데이트하는 것으로는 취약한 환경에서 이미 생성된 시드를 복구할 수 없다는 설명이다.

취약한 시드를 다른 하드웨어 월렛이나 소프트웨어 월렛으로 가져오는 것도 해결책이 아니다. 보안 문제가 기기 자체가 아닌 시드에 남아 있다면 같은 시드를 사용하는 모든 월렛이 동일한 위험에 노출되기 때문이다.

외신 보도에 따르면 코인카이트는 영향을 받을 수 있는 펌웨어 환경에서 시드를 생성한 이용자에게 업데이트된 환경에서 완전히 새로운 시드를 만들고, 해당 시드에서 생성된 새 주소로 비트코인을 옮길 것을 권고했다.

콜드카드 이용자는 우선 공식 보안 공지에서 자신이 사용한 기기 모델과 시드를 생성할 당시의 펌웨어 버전을 확인해야 한다. 기기를 구매한 시점이 아니라 현재 자산을 관리하는 시드가 언제, 어떤 환경에서 생성됐는지가 더 중요하다.

새 시드를 만들 때는 공식 펌웨어와 정상적인 기기인지 확인하고, 가능하다면 기기 자체의 무작위 생성 기능에 충분한 주사위 굴림 등 외부 엔트로피를 추가하는 방안도 고려할 수 있다.

자산 규모가 크다면 단일 시드가 노출돼도 즉시 탈취되지 않도록 복수 기기를 이용하는 다중서명 구조를 적용하는 것도 방법이다.

이 과정에서 복구 문구를 웹사이트나 애플리케이션, 이메일, 메신저에 입력해서는 안 된다. 사건을 악용해 ‘보안 점검’이나 ‘피해 보상’을 가장한 피싱 사이트가 등장할 수 있기 때문이다. 제조사와 조사기관도 이용자의 시드 문구나 개인키를 요구하지 않는다.

이번 사건은 오프라인 하드웨어 월렛도 완전한 무위험 수단은 아니라는 점을 보여준다. 하드웨어 보안뿐 아니라 펌웨어 검증, 시드 생성의 무작위성, 백업 방식, 다중서명 구성까지 전체적인 키 관리 절차가 안전해야 장기 보관 자산을 보호할 수 있다.