콜드카드 피해 1789 BTC, 87.3% 미이동

콜드카드(Coldcard) 해킹으로 도난당한 비트코인(BTC)이 1789.28개로 다시 집계됐다. 이 가운데 1561 BTC, 87.3%는 공격자 통제 주소에서 아직 움직이지 않은 것으로 나타났다.

알렉스 손(Alex Thorn) 갤럭시리서치(Galaxy Research) 리서치 총괄은 X 게시글에서 콜드카드 해킹 피해를 8865개 주소, 1789.28 BTC로 집계했다고 밝혔다. 도난 당시 가치는 1억1470만 달러(약 1587억원)다.

이번 집계는 피해 규모가 1778 BTC를 넘어섰다는 앞선 본지 보도보다 늘어난 수치다. 미이동 물량도 1531 BTC에서 1561 BTC로 증가했다. 갤럭시는 피해자 신고가 추가로 들어오면서 직접 귀속할 수 있는 손실 규모가 늘었다고 설명했다.

공격자가 아직 사용하지 않은 BTC는 수집 주소나 보관 주소에 남아 있다. 갤럭시는 1~3차 공격에서 탈취된 BTC가 모두 움직이지 않았다고 밝혔다.

다만 이후 공격에서 도난당한 일부 BTC는 코인조인(CoinJoin), 필체인(peel chain) 등 추적을 어렵게 하는 방식으로 이동했다. 코인조인은 여러 사용자의 거래를 섞어 자금 흐름을 흐리는 방식이고, 필체인은 큰 금액을 여러 단계로 쪼개 옮기는 온체인 이동 방식이다.

피해자 신고는 221건이다. 이 신고가 포괄한 손실은 790.72 BTC로, 갤럭시가 이번에 귀속한 전체 피해의 44.2%다.

신고별 중앙값은 1.04272 BTC였다. 신고 사례의 절반 이상이 1 BTC를 넘는 손실을 냈다는 의미다.

콜드카드는 이용자가 BTC를 직접 보관하는 하드웨어 지갑이다. 하드웨어 지갑은 개인키를 오프라인 환경에서 관리하도록 설계되지만, 시드 문구 생성 단계의 무작위성이 약하면 공격자가 후보 시드를 좁혀 지갑을 찾아낼 가능성이 생긴다.

갤럭시는 앞선 보고서에서 2021년 3월 펌웨어 변경 과정의 난수 생성 결함이 시드 문구 생성 단계의 보안을 약화시켰다고 설명했다. 공격자는 기기에 직접 접근하지 않고도 취약한 시드를 재구성해 온체인 자금을 옮긴 것으로 조사됐다.

이 사안은 콜드카드 결함 의혹이 비트코인 셀프 커스터디 보안 논쟁으로 번진 배경과 맞닿아 있다. 개인 보관은 거래소 보관 위험을 줄일 수 있지만, 지갑 제조 과정과 시드 생성 품질이 취약하면 이용자 손실이 직접 발생할 수 있다.

공격자 주소에 자금이 남아 있다는 점은 추적과 동결 가능성을 열어두는 요소다. 반대로 일부 자금이 이미 코인조인과 필체인을 거쳤다는 점은 회수와 귀속 판단을 어렵게 만든다.

갤럭시는 확인한 공격자 주소를 암호화폐 거래소, 컴플라이언스 업체, 수사기관에 공유했다. 공격자가 중앙화 중개기관으로 자금을 보내면 동결을 시도할 수 있도록 하기 위한 조치다.

피해 자금의 시장 영향은 추가 확인이 필요하다. 현재 확인된 핵심 변화는 피해 귀속 규모가 1789.28 BTC로 늘었고, 그중 87.3%가 아직 이동하지 않았다는 점이다.