콜드카드 1억3000만달러 도난 보도, 수탁 논쟁 재점화

비트코인(BTC) 하드웨어 지갑 콜드카드(COLDCARD)에서 1억3000만 달러(약 1833억원) 규모의 도난 피해가 발생했다는 보도가 나왔다. 개인이 키를 직접 관리하는 자가수탁과 기관 수탁의 안전성을 둘러싼 논쟁도 다시 커졌다.

블록비츠(BlockBeats)는 10일 콜드카드 일부 펌웨어에 2021년 무작위 수 생성 취약점이 있었으며, 해당 기기에서 생성된 일부 니모닉 문구가 예측될 위험에 노출됐다고 보도했다. 블록비츠가 전한 피해 규모는 5200여개 주소와 약 2000BTC다.

피해 규모는 집계 시점에 따라 차이를 보였다. 본지는 앞서 콜드카드 관련 지갑 5200여개 주소에서 약 1816BTC가 도난당했다는 보도를 전한 바 있다.

초기에는 콜드카드 펌웨어의 엔트로피 생성 결함과 약 3800만 달러(약 530억원) 규모 도난 사건의 연관 가능성이 제기됐다. 당시 취약점과 도난 피해 사이의 실제 인과관계와 영향 범위는 추가 확인이 필요한 상태였다.

하드웨어 지갑은 개인 키를 인터넷과 분리된 기기에 보관하는 장치다. 거래 서명은 기기 내부에서 이뤄지며 개인 키가 네트워크에 연결된 컴퓨터로 직접 이동하지 않는다는 점이 주요 장점이다.

엔트로피는 지갑의 시드와 복구 문구를 만드는 데 사용되는 무작위성을 뜻한다. 생성 과정의 무작위성이 충분하지 않으면 공격자가 가능한 조합을 좁혀 복구 문구를 추정할 위험이 커질 수 있다.

하드웨어 지갑의 보안은 기기 자체뿐 아니라 펌웨어와 공급망, 시드 생성 과정에 함께 좌우된다. 개인 키를 오프라인에 보관하더라도 이 과정 가운데 한 곳에 결함이 생기면 자가수탁의 안전성이 약해질 수 있다.

블록비츠는 사건 뒤 일부 투자자가 기관 수탁 상품으로 전환하기 시작했다고 보도했다. 블록비츠는 미국 현물 비트코인 ETF가 며칠 동안 약 6억2600만 달러(약 8827억원)의 순유입을 기록했다고 전했다.

제임슨 롭(Jameson Lopp) 카사(Casa) 공동창업자는 “최근 사건이 이용자의 자가수탁 신뢰를 약화해서는 안 된다”고 말했다. 제3자 수탁에도 별도의 보안 위험이 존재한다는 입장이다.

피터 토드(Peter Todd) 비트코인 코어 초기 개발자도 자가수탁의 장기 보안 기록이 중앙화 기관보다 낫다고 평가했다. 특정 지갑의 결함과 자가수탁 방식 전체의 안전성을 구분해야 한다는 주장이다.

마이클 탕구마(Michael Tanguma) 온램프(Onramp) 공동창업자는 자가수탁과 기관 수탁 모두 결함이 있다고 지적했다. 그는 “대규모 자산을 단일 기관에 집중하면 공격자가 노리는 ‘허니팟’이 되고, 하드웨어 지갑은 공급망과 펌웨어, 무작위 수 생성 위험을 안는다”고 말했다.

탕구마가 제시한 대안은 ‘다중 기관 수탁’이다. 여러 규제 대상 수탁기관이 키를 나눠 보관하고 거래 때 복수 기관의 서명을 요구해 단일 장애 지점을 줄이는 방식이다.

다중 기관 수탁은 한 기관이나 하나의 키가 침해됐을 때 자산이 곧바로 이동하는 위험을 낮출 수 있다. 반면 거래에 여러 기관의 승인이 필요해지면서 비트코인이 지향해 온 탈중앙화 원칙과 충돌한다는 비판도 나온다.

비트코인이 연금과 신탁, 기관 자산 배분에 편입되면서 수탁 방식은 장기 자산 관리의 주요 쟁점으로 떠올랐다. 이용 편의성과 복구 가능성을 높이면 기관 의존도가 커지고, 개인 통제권을 강화하면 키 관리 책임도 함께 무거워지는 구조다.

한국 투자자도 같은 선택에 놓여 있다. 거래소나 기관에 맡기면 개인 키 관리 부담을 덜 수 있지만 수탁기관 위험을 감수해야 하고, 자가수탁을 택하면 복구 문구와 기기 보안을 직접 책임져야 한다.