콜드카드 난수 결함, 비트코인 보안 논쟁 옮겼다

콜드카드(Coldcard) 보안 이슈의 핵심은 비트코인(BTC) 자체가 아니라 하드웨어 지갑의 시드 생성 구현 오류로 좁혀졌다. 코인셰어스(CoinShares)는 ‘Beyond the Coldcard exploit’ 보고서에서 이번 사안을 AI와 금융 보안 비용 구조 변화의 사례로 다뤘다.

코인카이트(Coinkite)는 2026년 7월 30일 콜드카드 보안 공지에서 Mk2·Mk3의 4.0.1부터 4.1.9까지 펌웨어 구간과 수정판 이전의 Mk4·Mk5·Q 일부 시드가 영향을 받을 수 있다고 밝혔다. 수정 버전은 Mk2·Mk3 4.2.0, Mk4·Mk5 5.6.0, Q 1.5.0Q다. 이미 만들어진 시드는 펌웨어 업데이트만으로 복구되지 않는다고 회사는 설명했다.

이번 결함은 합의 규칙이나 서명 알고리즘이 아니라 기기에서 시드를 만들 때 쓰는 난수 생성 과정에서 발생했다. 시드 문구를 만들 때 충분한 무작위성이 확보되지 않으면 공격자는 후보 범위를 줄일 수 있다. 하드웨어 지갑이 오프라인 개인키 보관 장치라는 점과 별개로, 시드 생성 단계가 약하면 자체 보관 전체가 흔들릴 수 있다는 의미다.

피해 규모는 출처를 나눠 봐야 한다. 디크립트(Decrypt)는 체인 분석과 후속 보도를 바탕으로 약 594 BTC, 3800만 달러(약 538억원), 약 500개 지갑이 약 25분 동안 영향을 받은 것으로 추정했다. 이 수치는 코인카이트 공식 공지에 담긴 확정 피해액은 아니다.

AI가 실제로 콜드카드 취약점을 찾아냈다는 직접 증거도 공개되지 않았다. 코인카이트는 공격자가 오픈소스 펌웨어를 AI로 검토했을 가능성을 제기했지만, 자체 AI 재검토에서는 같은 결함을 찾지 못했다고 밝혔다. 코인셰어스는 이 대목을 AI가 금융 보안의 경제성을 바꾸는 흐름과 연결해 해석했다.

국내 이용자에게도 접점이 있다. 본지는 앞서 콜드카드 보안 익스플로잇 이후 비트코인 신규 주소가 26만개에서 33만개로 늘어난 흐름을 전했다. 이용자들이 기존 지갑에서 새 주소로 자금을 옮기면서 온체인 지표가 달라진 것으로 풀이된다.

코인카이트가 제시한 대응은 새 시드 생성과 검증 절차에 모인다. 회사는 영향 가능성이 있는 이용자에게 강한 BIP-39 패스프레이즈를 적용하거나, 영향을 받지 않는 기기에서 새 시드를 만들고, 수신 주소를 확인한 뒤 소액 테스트 전송을 먼저 하라고 안내했다. 패스프레이즈는 위험을 낮출 수 있지만 기존 시드를 수리하는 조치는 아니라고 덧붙였다.

AI 보안 논쟁은 별도 축으로 커지고 있다. 국제통화기금(IMF)은 2026년 6월 30일 노트에서 AI가 금융 부문 취약점 발견과 악용의 속도, 빈도, 범위를 키울 수 있다고 밝혔다. 영국 국가사이버보안센터(NCSC)도 2027년까지 AI 보조 취약점 연구와 익스플로잇 개발이 가장 중요한 변화가 될 가능성이 높다고 평가했다.

영국 AI안전연구소(AISI)는 32단계 기업 네트워크 공격 시나리오 평가에서 GPT-4o가 2024년 8월 평균 1.7단계, 클로드 오퍼스 4.6이 2026년 2월 평균 9.8단계를 수행했다고 밝혔다. AI가 방어 도구인 동시에 공격 자동화 도구가 될 수 있다는 경고다.

콜드카드 사건은 비트코인 보안 논쟁을 ‘암호가 깨졌나’에서 ‘암호를 다루는 장치와 절차가 충분히 견고한가’로 옮겼다. 코인카이트는 조사를 계속하고 추가 세부 내용을 내놓겠다고 밝혔다.