콜드카드 결함 논란에…'주사위 한 번' 경고 영상 재조명
하드웨어 지갑 콜드카드(COLDCARD)의 무작위 시드 생성 결함이 불거진 가운데, 2023년 한 보안 교육자가 올린 경고 영상이 다시 주목받고 있다.
오데일리는 2일 콜드카드 RNG(난수생성기) 결함이 알려진 뒤 하드웨어 지갑 교육 계정 @YTCryptoGuide가 2023년 게시한 영상이 새삼 화제가 되고 있다고 전했다. 영상에서 @YTCryptoGuide는 콜드카드 Mk4가 주사위를 단 한 번만 굴려도 지갑 생성을 허용한다는 점을 지적했다. 굴림 횟수가 부족하면 시드를 구성하는 무작위성(엔트로피)이 낮아져, 이용자가 자신도 모르게 취약한 지갑을 만들 수 있다는 경고다.
@YTCryptoGuide는 또 콜드카드의 인터페이스가 이용자로 하여금 자신이 굴린 주사위 값이 기기 자체 하드웨어 RNG와 섞여 들어간다고 믿게 만들 수 있지만, 일부 설정 흐름에서는 실제로 그렇지 않다고 짚었다. 하드웨어 RNG를 전적으로 신뢰하지 않는 숙련 이용자일수록 주사위 방식을 택해 왔는데, 정작 그 과정에도 허점이 있을 수 있다는 취지다.
콜드카드는 코인카이트(Coinkite)가 만드는 비트코인(BTC) 전용 하드웨어 지갑이다. Mk2·Mk3 기기에서 심각한 엔트로피 생성 결함이 공개되며 3800만 달러(약 530억원) 규모 비트코인 도난 사건과의 연관 가능성까지 제기된 바 있다. 코인카이트는 영향을 받는 펌웨어에서 시드를 생성한 이용자에게 패치된 펌웨어로 업그레이드하고 새 시드를 만들어 자산을 옮기라고 권고했다.
이번에 재조명된 2023년 영상의 경고는 최근 업계 전문가들의 조언과도 맞닿아 있다. 알렉스 손(Alex Thorn) 갤럭시(Galaxy) 리서치 총괄은 2021년 3월 17일 이후 나온 콜드카드 펌웨어를 쓰면서 주사위 난수로 시드 보안을 강화하지 않고 패스프레이즈도 설정하지 않은 단일 서명 지갑은 즉시 다른 지갑으로 옮겨야 한다고 밝혔다. 다른 출처의 고엔트로피 시드를 쓰거나 주사위 난수화를 충분히 거친 경우가 아니라면 콜드카드 생태계에서 완전히 벗어나야 한다는 것이 그의 조언이다.
3년 전 영상이 지적한 주사위 방식 자체의 결함과 최근 알려진 펌웨어 결함이 같은 문제인지는 아직 단정하기 어렵다. 코인카이트의 공식 입장과 이번 결함의 구체적 발생 경위, 영향을 받는 모델·펌웨어 범위는 추가 확인이 필요하다.
<저작권자 ⓒ TokenPost, 무단전재 및 재배포 금지>
많이 본 기사
