콜드카드 피해 최대 8900만달러 보도…신고·복구 문구 교체 먼저

콜드카드(Coldcard) 하드웨어 지갑 취약점 피해액이 최대 8900만 달러(약 1282억원)로 보도됐다. 피해자는 남은 자산을 보호한 뒤 수사기관에 신고하고 거래 기록을 보전해야 한다.

비트코인(BTC) 전용 하드웨어 지갑 콜드카드를 만든 코인카이트(Coinkite)의 펌웨어에서 복구 문구 생성과 관련된 결함이 제기됐다. 뉴욕포스트(New York Post)는 7월 30일 41분 동안 1000개가 넘는 지갑에서 약 8900만 달러가 유출됐다고 보도했다. 뉴스닷컴호주(news.com.au)는 약 594 BTC와 500개 안팎의 지갑에서 5000만 달러(약 721억원)가 유출됐다고 전했으며, 프로토스(Protos)에는 25분 동안 500개 지갑에서 3800만 달러(약 548억원)가 빠져나갔다는 수치가 제시됐다.

보도마다 피해액과 지갑 수가 달라 8900만 달러는 확정치가 아닌 최대 보도액으로 봐야 한다. 공격자 신원도 공개적으로 확인되지 않았다.

피해자가 우선해야 할 조치는 남은 자산을 새 지갑으로 옮기는 일이다. 결함이 있는 펌웨어에서 만들어진 복구 문구는 펌웨어를 업데이트해도 안전해지지 않는다. 수정된 펌웨어가 설치된 환경에서 새 복구 문구를 생성하고 남은 비트코인을 이전해야 한다. 기존 복구 문구를 다른 기기에 입력하는 방식으로는 위험을 제거할 수 없다.

신고에 필요한 기록도 보전해야 한다. 거래 ID와 유출 주소, 잔액 화면, 지갑 구매 영수증, 사건 발생 시각을 정리하는 방식이다. 미국 연방수사국(FBI)이 운영하는 인터넷범죄신고센터(IC3)는 신고 내용을 법 집행기관과 공유할 수 있으며, 손실 확인 자료가 배상이나 세무 검토에 활용될 수 있다고 안내했다. 다만 신고가 모두 수사로 이어지는 것은 아니다.

한국 거주 피해자는 국내 수사기관에 신고하고 거래소 출금 경로와 지갑 주소, 트랜잭션 해시를 보전해야 한다. 해외 신고 창구를 함께 이용하더라도 국내 거래소 계정과 원화 입출금, 본인 인증 기록 등 관련 자료를 함께 보전할 필요가 있다.

자금 회수를 내세운 2차 사기도 주의해야 한다. IC3는 로펌이나 암호화폐 서비스 등 비수사기관과 함께 자금 회수를 진행하지 않으며 피해자에게 직접 연락해 돈을 요구하지 않는다고 밝혔다. FBI도 허위 로펌이 암호화폐 피해자에게 자금 회수를 제안하며 추가 비용을 받아내는 사례를 경고했다. 연락해 온 업체나 변호사는 공식 등록 정보와 연락처를 별도로 확인해야 한다.

본지는 앞서 콜드카드 피해 회수를 위한 제품소송과 자산 추적 방안이 검토되고 있다고 보도했다. 실제 회수 절차와 별개로 피해자는 공식 신고와 증거 보전을 먼저 진행해야 한다.

이번 사고는 하드웨어 지갑도 복구 문구 생성 과정에 결함이 생기면 오프라인 보관의 안전성을 보장하기 어렵다는 점을 보여준다.