콜드카드 시드 결함과 연관된 1억 달러 규모의 비트코인 도난

핵심 포인트

콜드카드는 2021년 펌웨어 전면 개편 과정에서 발생한 구성 오류 때문에 시드 생성에 예측 가능한 소프트웨어 기반 방식을 사용했다. 갤럭시 리서치는 공격자들이 약 7,300개 주소에서 1,596 BTC를 탈취한 것으로 추정했다. 이 구성 오류로 시드 생성에 필요한 무작위성이 줄어들었고, 공격자들은 시드 조합을 추정해 개인 키에 접근할 수 있었다. 콜드카드는 패치된 펌웨어를 배포했지만, 취약한 펌웨어에서 생성된 시드는 업데이트만으로 보호할 수 없다고 밝혔다. 콜드카드는 영향을 받은 사용자에게 새 시드를 생성하고 비트코인을 새로운 주소로 옮겨야 한다고 밝혔다. 소스 코드는 공개돼 있었지만, 검토자들은 어떤 난수 생성기가 시드를 생성했는지 검증하지 않았다.

왜 중요한가: 취약한 시드 생성은 공격자가 개인 키 입력값을 재현할 수 있기 때문에 개인 보관 방식의 보안을 직접적으로 훼손할 수 있다.

시장 심리

약세, 기술 주도, 공포.

이유: 갤럭시 리서치는 공격자들이 약 7,300개 주소에서 1,596 BTC를 탈취한 것으로 추정했다.

유사 과거 사례

2022년 로닌 브리지 익스플로잇으로 약 6억 2,000만 달러 상당의 암호화폐 자산이 도난당했다. 이후 스카이 메이비스는 피해 사용자들에게 보상하기 위해 1억 5,000만 달러를 조달했다. (Axios) 차이점: 로닌 사건은 브리지 인프라와 보상 자금 조달이 관련된 반면, 이번 사건은 취약한 시드 생성과 개인이 통제하는 비트코인이 관련돼 있다.

파급 효과

결함이 있는 절차로 생성된 시드는 펌웨어 업데이트로 보호할 수 없기 때문에 노출 위험이 지속될 수 있다. 영향을 받은 사용자가 비트코인을 새로운 주소로 옮기면 즉각적인 보관 위험이 더욱 제한될 수 있다.

기회와 리스크

기회: 사용자가 자신의 시드가 패치된 펌웨어에서 생성됐음을 확인하면, 비트코인을 새로 생성한 주소로 옮기는 것이 결함이 있는 절차에 대한 노출을 줄일 수 있다.

리스크: 사용자가 취약한 펌웨어에서 생성된 시드를 계속 보유하면, 예측 가능한 시드 생성 방식으로 인해 비트코인이 추가 도난에 노출될 수 있다.