콜드카드 취약점에 비트코인 1000개 넘게 유출…CZ "지갑 분산이 대안"

류하진 기자

2026.08.01 (토) 18:08

콜드카드 펌웨어 결함으로 1196개 주소에서 비트코인 1082.65개가 유출됐고, 코인카이트는 긴급 업데이트와 시드 교체를 권고했다.

바이낸스 창업자 CZ는 하드웨어 지갑도 완벽하지 않다며 자산을 여러 지갑에 나누는 분산 보관이 대안이 될 수 있다고 밝혔다.

콜드카드 취약점에 비트코인 1000개 넘게 유출…CZ "지갑 분산이 대안" / Tokenpost.ai

하드웨어 지갑으로 알려진 ‘콜드카드’에서 보안 취약점이 발견되며 대규모 비트코인 유출 사태가 발생했다. 바이낸스 창업자 창펑 자오(CZ)는 자산을 여러 지갑으로 나누는 ‘분산 보관’을 대응책으로 제시했다.

이번 사건은 2021년 3월에 도입된 펌웨어 결함에서 비롯됐다. 일부 콜드카드 기기에서 복구 시드 생성 시 사용되는 난수 품질이 약화되면서 공격자가 오프라인 환경에서 개인키를 재구성할 수 있었고, 물리적 접근 없이도 자금을 탈취할 수 있었다.

초기 온체인 분석에서는 지난 7월 30일 약 25분 동안 500개 지갑에서 비트코인 594개가 이동한 것으로 나타났다. 당시 기준 약 3800만 달러, 한화 약 549억 원 규모다. 이후 갤럭시 리서치의 추가 분석에서는 피해 규모가 더 확대됐다. 약 41분 동안 총 1082.65 비트코인(BTC), 약 7000만 달러(약 1012억 원)가 1196개 주소에서 유출된 것으로 집계됐다. 특히 피해 지갑 상당수는 오랜 기간 휴면 상태였던 것으로 확인됐다.

콜드카드 제조사 코인카이트는 해당 버그를 공식 인정하고 사과와 함께 긴급 펌웨어 업데이트를 배포했다. 다만 단순 업데이트만으로는 기존 취약 시드가 안전해지지 않는다고 강조했다. 문제 버전에서 생성된 시드를 사용한 경우, 새로운 시드를 생성한 뒤 자산을 별도로 이전해야 한다고 안내했다.

CZ는 소셜미디어를 통해 “하드웨어 지갑도 완벽하지 않다”며 “오랜 기간 검증된 장치조차 버그가 존재할 수 있다”고 지적했다. 그러면서 “자산을 여러 지갑에 나누는 것도 한 방법이지만, 이 역시 관리 복잡성이라는 새로운 위험이 따른다”고 덧붙였다.

이번 사건은 ‘셀프 커스터디(자기 보관)’의 한계를 다시 부각시키고 있다. 하드웨어 지갑은 오프라인 보관 방식으로 높은 보안을 제공하는 것으로 평가받아 왔지만, 장기간 발견되지 않은 취약점이 존재할 수 있다는 점이 확인됐기 때문이다. 결국 보안은 단일 수단이 아닌 ‘분산과 지속적인 점검’이라는 기본 원칙 위에서 관리돼야 한다는 교훈을 남기고 있다.

기사요약 by TokenPost.ai
🔎 시장 해석
콜드카드 하드웨어 지갑의 펌웨어 취약점으로 1000BTC 이상 유출되며 ‘오프라인=안전’이라는 인식에 균열 발생
셀프 커스터디의 구조적 리스크(소프트웨어·난수 품질)가 시장 전반의 보안 인식 재점검 계기

💡 전략 포인트
단일 지갑 집중 보관 대신 다중 지갑 분산으로 단일 장애 리스크 축소
취약 버전 사용자 즉시 신규 시드 생성 후 자산 이전 필수
지갑·펌웨어 정기 점검과 공급사 공지 모니터링 필요
백업 관리 체계(시드 보관, 복구 리허설) 구축으로 운영 리스크 완화

📘 용어정리
시드 문구: 지갑 복구용 키의 원천이 되는 단어 조합
난수(엔트로피): 키 생성의 예측 불가능성, 보안의 핵심 요소
셀프 커스터디: 개인이 직접 개인키를 보관·관리하는 방식
펌웨어: 하드웨어 기기 내부에서 동작하는 소프트웨어