콜드카드 지갑 취약점 피해 1억1,400만달러로 확대…개발사 즉시 이동 경고

콜드카드(Coldcard) 지갑에서 발생한 보안 취약점이 ‘현재 진행형’으로 확인되며, 개발사가 사용자들에게 비트코인(BTC) 자산을 즉시 이동하라고 긴급 경고했다. 수동 조치가 필요한 구조인 만큼 대응이 늦을수록 피해가 커질 수 있다는 지적이다.

이번 경고는 단순 예방이 아니다. 8월 3일(현지시간)까지 확인된 피해 규모는 약 1억1,400만 달러(약 1,627억 원)로 확대됐다. 갈라진 주소 기준 약 709개 지갑에서 449 BTC가 추가 유출되며, 앞서 약 8,900만 달러에서 손실 규모가 급증했다.

“지금 바로 이동”…셀프 커스터디 지갑 노린 취약점

콜드카드 개발사 코인카이트(Coinkite)는 “상황을 ‘긴급’으로 간주하고 자산을 즉시 이동하라”고 밝혔다. 특히 알림을 접하지 못했을 가능성이 있는 사용자들을 포함해 주변에 적극적으로 경고할 것을 강조했다.

문제는 2021년부터 잠복해 있던 펌웨어 결함이다. 단일 키로 자산을 제어하는 구조에서 추가 승인 없이 접근이 가능한 상태로 남아 있었고, 사용자가 직접 조치하기 전까지 위험이 지속된다.

영향 대상 제한적…특정 모델·펌웨어 사용자 주의

모든 사용자에게 해당하는 문제는 아니다. 2019년 출시된 Mk3 모델에서 펌웨어 4.0.1 이상으로 설정된 지갑이 주요 대상이다. 해당 사용자들은 즉시 지갑을 새로 생성하고 비트코인(BTC)을 옮겨야 한다.

반면 ‘주사위 생성(dice)’ 옵션으로 키를 만든 경우는 예외다. 사용자가 직접 50회 이상 주사위를 굴려 생성한 난수를 기반으로 키를 만든 지갑은 취약 코드와 무관해 안전한 것으로 확인됐다.

Mk4·Mk5·Q 모델 사용자도 안심할 수는 없다. 각각 펌웨어 5.6.0 또는 1.5.0Q 미만이라면 업데이트 후 새 지갑 생성과 자산 이전이 필요하다.

“난수 품질이 핵심”…보안 구조 한계 드러나

지갑의 ‘시드(seed)’는 모든 자산을 통제하는 핵심 키다. 난수 품질이 낮을 경우 공격자가 이를 추정해 동일한 키를 재생성하고, 물리적 접근 없이도 자산을 탈취할 수 있다.

보안 전문가 부존(Bouzon)은 “모든 지갑의 근간은 고품질 엔트로피(무작위성)에 달려 있다”며 “신뢰할 수 있는 하드웨어 기반에서 생성되지 않으면 소프트웨어 취약점으로 쉽게 무너질 수 있다”고 설명했다.

그는 이어 “일반 소프트웨어 지갑은 더 큰 위험에 노출될 수 있고, 중앙화 거래소에 맡기는 것은 ‘소유’가 아닌 ‘채권’에 가깝다”고 덧붙였다.

시장 영향 제한적…비트코인 가격은 안정

이번 대규모 해킹에도 시장 반응은 제한적이다. 비트코인(BTC)은 같은 날 미국 시간 기준 약 6만3,800달러 수준에서 큰 변동 없이 거래됐다.

다만 이번 사건은 ‘셀프 커스터디’의 보안 책임이 결국 사용자에게 있다는 점을 다시 한번 드러냈다. 하드웨어 지갑이라도 설계와 초기 설정에 따라 위험에 노출될 수 있는 만큼, 펌웨어 관리와 키 생성 방식에 대한 점검이 중요하다는 경고로 해석된다.

---

기사요약 by TokenPost.ai 🔎 시장 해석 콜드카드 지갑 취약점은 단순 버그가 아닌 실제 자산 유출이 진행 중인 보안 사고로, 셀프 커스터디 환경에서도 구조적 리스크가 존재함을 재확인시켰다. 피해 규모가 1억 달러를 넘었음에도 비트코인 가격이 안정적인 것은 네트워크 자체와 개별 지갑 리스크가 분리되어 인식되고 있음을 의미한다. 💡 전략 포인트 취약 조건에 해당하는 사용자는 즉시 새 지갑 생성 후 자산 이동이 최우선이다. 하드웨어 지갑이라도 펌웨어 버전과 초기 설정(씨드 생성 방식)을 반드시 점검해야 한다. 장기 보관 투자자는 '설정 시점의 보안 상태'를 정기적으로 재검토하는 습관이 필요하다. 📘 용어정리 씨드(seed): 지갑의 모든 자산을 통제하는 마스터 키로, 유출 시 전체 자산이 위험해진다. 엔트로피(entropy): 난수의 무작위성 수준으로, 낮을수록 해킹 가능성이 높아진다. 셀프 커스터디: 거래소가 아닌 개인이 직접 자산을 보관하는 방식으로, 보안 책임이 사용자에게 있다.

💡 자주 묻는 질문 (FAQ)

Q. 지금 바로 자산을 옮겨야 하는 이유는 무엇인가요? 이번 취약점은 이미 실질적인 해킹으로 이어지고 있으며, 시간이 지날수록 추가 피해가 발생하고 있습니다. 사용자가 직접 조치하기 전까지 위험이 지속되는 구조이기 때문에, 조건에 해당하는 경우 즉시 새 지갑을 만들고 비트코인을 이동하는 것이 가장 안전합니다. Q. 모든 콜드카드 사용자가 위험한 건가요? 아닙니다. 특정 모델(Mk3 등)과 특정 펌웨어 환경에서 생성된 씨드에 한해 문제가 발생합니다. 특히 주사위 방식으로 직접 난수를 생성한 경우는 안전한 것으로 알려져 있으며, 최신 펌웨어를 사용하는 일부 모델도 영향이 제한적일 수 있습니다. 중요한 것은 “어떤 환경에서 씨드를 만들었는지”입니다. Q. 하드웨어 지갑이면 무조건 안전한 것 아닌가요? 일반적으로는 소프트웨어 지갑보다 안전하지만, 이번 사례처럼 펌웨어 결함이나 설계 문제로 취약점이 생길 수 있습니다. 즉, 장치 자체뿐 아니라 펌웨어 업데이트, 씨드 생성 방식, 초기 설정까지 모두 포함해 보안이 유지되어야 안전하다고 볼 수 있습니다. TP AI 유의사항 TokenPost.ai 기반 언어 모델을 사용하여 기사를 요약했습니다. 본문의 주요 내용이 제외되거나 사실과 다를 수 있습니다.