콜드카드 취약점 악용…비트코인 1600개 탈취

프랑스 파리에서 열린 결혼식 참석 중이던 코리 클립스텐(Cory Klippsten) 스완 CEO에게 긴급 메시지가 쏟아졌다. 수천 명의 사용자가 보관하던 ‘비트코인(BTC)’이 한꺼번에 빠져나가는 사건이 발생했기 때문이다. 하드웨어 지갑 ‘콜드카드(Coldcard)’의 오래된 펌웨어 결함이 뒤늦게 공격에 악용되며 약 1600BTC, 약 1억 달러(약 1425억 원) 규모 자금이 탈취됐다.

사건은 지난주 목요일 시작됐다. 문제의 원인은 2021년 3월 배포된 펌웨어 업데이트였다. 해당 업데이트에 포함된 결함으로 일부 사용자 지갑의 ‘프라이빗 키’ 보안 수준이 기대보다 낮아졌고, 이 취약점이 5년간 발견되지 않은 채 방치됐다. 갤럭시 리서치에 따르면 공격은 세 차례에 걸쳐 진행됐으며 약 7300개 주소에서 자금이 유출됐다.

미국 기반 비트코인 플랫폼 스완은 즉각 대응에 나섰다. 위험 가능성이 있는 계정의 출금을 일시 중단하고, 앱 내 경고를 발송했으며 사용자 이전(마이그레이션) 지원을 전면 확대했다. 클립스텐 CEO는 “전 직원이 모든 업무를 중단하고 고객들에게 연락했고, 스완 이용자가 아니더라도 도움이 필요한 누구에게나 지원을 제공했다”고 설명했다.

일주일이 지난 현재 탈취된 자금의 약 90%는 아직 온체인에서 이동하지 않은 상태다. 확인된 공격자 주소는 미국 연방 수사 당국에 전달됐으며, 캐나다 토론토 기반 제조사 코인카이트(Coinkite)는 모든 영향을 받은 기기 라인의 패치를 완료했다. 오픈소스 보안 단체 오픈새츠(OpenSats)가 지원한 자원봉사 팀도 150개 이상의 저장소를 점검한 결과, 취약점이 콜드카드에 국한된 것으로 확인됐다.

이번 사건은 ‘자기 보관(self-custody)’ 방식에 대한 회의론도 불러왔다. 일부에서는 개인 지갑 대신 ETF 등 간접 투자 수단을 고려해야 한다는 주장도 제기됐다. 그러나 시장의 흐름은 다소 다르다. 클립스텐 CEO는 “사용자들이 자기 보관을 포기하기보다 접근을 더 어렵게 만드는 방향으로 이동하고 있다”고 말했다.

실제로 다중서명 기반 보관 서비스인 ‘스완 볼트(Swan Vault)’로 자금을 이동하는 사례가 늘고 있다. 이 방식은 단일 기기만으로는 자산에 접근할 수 없도록 설계돼 보안성을 높인다.

클립스텐은 이번 사태를 ‘고통스럽지만 전환점이 될 사건’으로 평가했다. 그는 “많은 사용자가 업계 권고를 따랐음에도 피해를 입은 것은 분명 안타깝다”면서도 “비트코인은 ‘반취약적’이며 도구는 빠르게 개선되고 있다. 이번 사건이 오히려 자기 보관 기술을 강화하는 계기가 될 수 있다”고 밝혔다.

---

기사요약 by TokenPost.ai
🔎 시장 해석
이번 사건은 하드웨어 지갑조차 완벽하지 않다는 점을 드러내며 자기 보관 방식 전반에 대한 경각심을 확산시켰다.
특히 5년간 방치된 펌웨어 취약점이 대규모 해킹으로 이어졌다는 점에서, 장기 보유 투자자들의 보안 업데이트 중요성이 부각됐다.
다만 자금의 90%가 아직 이동되지 않았고, 취약점이 특정 제품에 국한됐다는 점에서 시스템 전반의 붕괴로 해석되지는 않는다.

💡 전략 포인트
단일 지갑이나 단일 키에 의존하는 구조는 리스크가 크므로 멀티시그(다중서명) 도입이 핵심 대안으로 떠오른다.
펌웨어 업데이트 여부를 정기적으로 점검하고, 오래된 기기는 즉시 점검 또는 교체가 필요하다.
ETF 등 간접 투자 vs 자기 보관 논쟁이 재점화됐지만, 시장은 ‘더 안전한 자기 보관’으로 진화하는 흐름을 보이고 있다.

📘 용어정리
프라이빗 키: 비트코인을 실제로 사용할 수 있게 하는 핵심 비밀값으로, 유출 시 자산이 탈취될 수 있음.
하드웨어 지갑: 개인이 암호화폐를 오프라인 상태로 보관할 수 있도록 설계된 물리 장치.
멀티시그(multisig): 여러 개의 키가 함께 있어야 자금을 이동할 수 있는 보안 구조로, 단일 실패 위험을 줄임.

💡 자주 묻는 질문 (FAQ)

Q. 이번 해킹 사건의 핵심 원인은 무엇인가요? 핵심 원인은 2021년 배포된 콜드카드 하드웨어 지갑 펌웨어의 보안 결함입니다. 이 결함으로 일부 지갑의 프라이빗 키 보호 수준이 약화됐고, 5년간 발견되지 않다가 공격자에게 악용되며 약 1600BTC가 탈취됐습니다. Q. 자기 보관 방식은 이제 위험한 건가요? 이번 사건으로 위험성이 부각된 것은 사실이지만, 자기 보관 자체가 부정되는 흐름은 아닙니다. 오히려 단일 지갑 대신 멀티시그 같은 더 안전한 구조로 발전하는 방향이 강조되고 있으며, 보안 관리의 중요성이 커진 것으로 볼 수 있습니다. Q. 앞으로 투자자들은 어떻게 대응하는 것이 좋을까요? 보유 중인 지갑의 펌웨어 업데이트 상태를 점검하고, 단일 장치에 의존하지 않는 멀티시그 구조를 고려하는 것이 중요합니다. 또한 보안 리스크를 감수하기 어렵다면 ETF 등 간접 투자 수단을 병행하는 방법도 현실적인 대안이 될 수 있습니다. TP AI 유의사항 TokenPost.ai 기반 언어 모델을 사용하여 기사를 요약했습니다. 본문의 주요 내용이 제외되거나 사실과 다를 수 있습니다.