Coinkite, 1,000 BTC 도난과 연관된 Coldcard 버그 이후 수정 펌웨어 배포

핵심 포인트

Coinkite는 비트코인 하드웨어 지갑에 영향을 준 중대한 개인키 생성 버그 이후 Coldcard 기기용 수정 펌웨어를 배포했다. Coinkite는 가장 큰 영향을 받은 사용자가 주사위 굴림이나 BIP 39 추가 패스프레이즈 없이 펌웨어 4.0.1부터 4.1.9까지에서 12개 또는 24개 단어 시드를 생성한 Coldcard MK3 사용자라고 밝혔다. Coinkite는 수정 펌웨어가 이제 Mk3, Mk4, Mk5, Coldcard Q 기기에서 제공된다고 말했다. Coinkite는 펌웨어 업데이트가 기존 시드를 복구하지 않으므로, 영향을 받은 사용자는 새 지갑을 만들고 자금을 새 주소로 온체인 전송해야 한다고 밝혔다. 업계 전문가들은 이번 침해에 AI가 사용된 것으로 보고 있다.

왜 중요한가: 약한 시드 생성은 공격자가 사용자가 자금을 이전하기 전에 키를 재구성할 수 있기 때문에 셀프 커스터디 보안을 직접 위협할 수 있다.

시장 심리

약세, 스트레스 국면, 기술 주도, 위험 축소.

이유: 1천 개가 넘는 비트코인이 도난당한 것으로 여겨지며, 이는 직접적인 셀프 커스터디 리스크를 가리킨다.

유사 과거 사례

2022년 Ronin Bridge 해킹 규모는 6억 달러를 넘었고, Sky Mavis는 피해 사용자 보상을 위해 1억5천만 달러를 조달했다. (Axios) 차이점은 Ronin 사례가 브리지 인프라와 관련된 반면, Coinkite 사례는 하드웨어 지갑의 시드 생성에 초점이 맞춰져 있다는 점이다.

파급 효과

약한 키 생성은 사용자가 지갑을 교체하고 벤더 코드를 재평가하도록 만들면서 셀프 커스터디 시장 전반으로 확산될 수 있다. 후속 권고가 영향 범위를 넓히면 유사한 셀프 커스터디 제품 전반에서 지갑 이전 압력이 높아질 수 있다. 이전이 멀티시그 스크립트를 드러내는 공개 거래를 통해 이뤄지면 공격자는 자금을 두고 경쟁할 시간 창을 얻을 수 있다.

기회와 리스크

기회: 수정 펌웨어가 설치되고 새 지갑이 생성되면, 새 주소로의 통제된 이전은 잠재적인 리스크 축소 신호다. 민감한 멀티시그 이동에 대해 비공개 거래 처리가 가능하다면, 비공개 라우팅 사용은 이전 중 노출을 줄일 수 있다.

리스크: 사용자가 취약한 펌웨어로 생성된 시드를 계속 보유하면, 펌웨어 업데이트만으로는 키 리스크가 제거되지 않는다. 멀티시그 스크립트가 확인 전에 공개되면, 공개 노출을 늦추거나 비공개 라우팅을 사용해 선점 리스크를 줄일 수 있다.