콜드카드 결함, BTC ETF 자금은 순유출 전환

비트코인(BTC) 자기보관을 둘러싼 보안 논쟁이 콜드카드(Coldcard) 시드 생성 결함을 계기로 다시 커졌다. 같은 기간 미국 현물 비트코인 ETF 자금은 8월 초 순유입 뒤 다시 순유출로 돌아서며 직접 보관과 상장상품 노출이 함께 비교 대상에 올랐다.

코인카이트(Coinkite)는 7월 30일 보안 공지에서 콜드카드 일부 버전으로 생성된 시드가 영향을 받을 수 있다고 밝혔다. 대상은 Mk2·Mk3의 4.0.1~4.1.9 펌웨어와 Mk4·Mk5·Q의 고정 펌웨어 이전 버전이며, 기존 시드는 펌웨어 업데이트만으로 복구되지 않는다고 설명했다.

이번 사안의 핵심은 개인키가 온라인에서 직접 유출된 사고라기보다 시드 생성 과정의 무작위성이 약해진 문제다. 코인카이트는 Mk4·Mk5·Q에서 생성된 일부 시드가 기대치인 128비트가 아니라 약 72비트 수준의 엔트로피를 가졌다고 밝혔다. 50회 이상 독립적인 주사위 입력을 더했거나 강한 BIP-39 패스프레이즈를 쓴 경우는 별도 안전판으로 제시했다.

시드는 지갑을 복구할 수 있는 핵심 문구다. 엔트로피는 이 문구가 얼마나 예측하기 어렵게 만들어졌는지를 뜻하며, 값이 낮아질수록 공격자가 가능한 조합을 좁힐 여지가 커진다. 하드웨어 지갑이 오프라인 보관을 전제로 하더라도 시드 생성 단계의 결함은 이용자 자산 보관 방식 전체를 흔들 수 있다.

피해 규모는 보도마다 엇갈린다. 디크립트는 초기 손실을 594 BTC, 약 3800만 달러(약 539억원)로 전했다. 테크밈이 정리한 코인데스크 보도 요약은 갤럭시리서치 추정치를 근거로 피해가 1000 BTC 이상, 7000만 달러(약 993억원) 이상으로 확대됐다고 전했다. 원문 제목의 1억1600만 달러 규모는 교차 확인 자료와 맞지 않는다.

국내 독자에게 이번 사안은 자기보관 방식의 장단점을 다시 확인하게 하는 사례다. 거래소에 맡기지 않고 개인 지갑으로 BTC를 보관하면 제3자 리스크를 줄일 수 있지만, 기기와 펌웨어, 시드 관리 책임은 이용자에게 남는다. 본지는 앞서 콜드카드 유출 이후 분산 보관 논의가 커졌다고 보도했다.

14일 파사이드 인베스터스에 따르면, 미국 현물 비트코인 ETF는 8월 3~7일 각각 1억7010만 달러(약 2412억원), 2억1150만 달러(약 3000억원), 2억4440만 달러(약 3466억원), 1억3760만 달러(약 1951억원), 1억170만 달러(약 1442억원) 순유입을 기록했다. 닷새 합계는 8억6530만 달러(약 1조2269억원)다.

흐름은 곧바로 흔들렸다. 8월 10~13일에는 각각 1억4460만 달러(약 2050억원) 순유출, 780만 달러(약 111억원) 순유입, 6110만 달러(약 866억원) 순유출, 1억3110만 달러(약 1859억원) 순유출을 기록했다. 자기보관 불안이 ETF 선호로 바로 이어졌다고 단정할 근거는 없다.

기관 자금 흐름과 개인 보관 논쟁은 서로 다른 시장 구조에서 움직인다. 자기보관은 개인이 키를 직접 통제하는 대신 운영 리스크를 떠안는 방식이고, ETF는 운용사와 수탁기관을 통해 가격 노출을 얻는 구조다. 이번 주에는 두 경로의 장단점이 동시에 부각된 셈이다.

기업 쪽에서는 스트레티지(Strategy)와 라이엇플랫폼스($RIOT)의 움직임이 함께 거론됐다. 퐁 레(Phong Le) 스트레티지 최고경영자는 폭스비즈니스 인터뷰에서 연내 비트코인 재매수를 시사했다. 더블록은 스트레티지가 최근 소규모 매도 뒤에도 장기 매수자 입장을 유지한다고 전했다. 정확한 시점과 물량은 공시가 아니라 발언과 보도 수준이다.

본지는 앞서 스트레티지가 6월 29일부터 7월 5일까지 BTC 3588개를 팔아 2억1600만 달러를 조달했다고 보도했다. 당시 매각 대금은 우선주 배당 지급과 달러 리저브 보충에 쓰였고, 이를 계기로 비트코인 재무전략 논쟁이 커졌다. 이번 재매수 언급도 같은 논쟁의 연장선에 있다.

라이엇플랫폼스는 7월 28일 2분기 실적 컨퍼런스콜 일정을 공지하며 대형 데이터센터와 비트코인 채굴을 병행하는 사업 구조를 재확인했다. 인베스토피디아는 라이엇플랫폼스가 20년, 91억 달러(약 12조9038억원) 규모 계약으로 191MW 컴퓨팅 전력을 공급한다고 보도했다. 해당 보도는 블룸버그를 인용해 상대가 앤트로픽이라고 전했다.

트럼프미디어앤드테크놀로지그룹($DJT)은 7월 16일 미 증권거래위원회(SEC)에 보도자료 공시 사실을 제출했다. AP는 회사가 2분기 2억3800만 달러(약 3375억원) 손실을 냈고, 온라인 베팅과 크립토 등 일부 신규 사업 확장을 줄이는 방향으로 돌아섰다고 보도했다.

이번 주 크립토 비즈니스 흐름은 한 사건으로 묶기보다 보관, 상장상품, 기업 재무전략, AI 인프라 전환이 동시에 움직인 장면에 가깝다. 확인된 사실은 콜드카드 시드 결함, ETF 자금의 단기 변동, 스트레티지의 재매수 언급, 라이엇플랫폼스의 데이터센터 확장, 트럼프미디어의 분기 손실이다.

검증 출처: 코인카이트 보안 공지, 파사이드 인베스터스 ETF 표, 디크립트, 테크밈, 폭스비즈니스, 더블록, 라이엇플랫폼스 IR, 인베스토피디아, SEC 8-K, AP.