Coldcard 펌웨어 결함으로 공격자들이 7천만 달러 넘는 비트코인 탈취

핵심 포인트

하드웨어 지갑 사용자들은 원격으로 자금을 빼낼 수 있게 한 Coldcard 펌웨어 결함을 공격자들이 악용한 뒤 비트코인(BTC) 7천만 달러 이상을 잃었다. CoinKite는 일부 영향을 받은 기기들이 내장 하드웨어 난수 생성기 대신 소프트웨어 기반 무작위성으로 복구 시드를 생성했다고 밝혔다. 이 문제는 2021년 3월 배포된 펌웨어에서 시작됐으며, 최신 펌웨어는 버그를 해결하지만 영향을 받은 기기에서 생성된 복구 시드를 안전하게 만들지는 못한다. Galaxy Research는 약 41분 동안 1,196개 주소에서 1,082.65 BTC가 쓸려 나간 것으로 추적했다. 창펑 자오는 하드웨어 지갑에도 버그가 있을 수 있다고 말하며, 이 방식에는 다른 리스크가 있다는 점을 언급하면서 지갑 간 자금 분산을 제안했다.

왜 중요한가: 시드 생성 결함은 사용자가 펌웨어 업데이트만으로 기존 복구 시드를 고칠 수 없을 때 셀프 커스터디에 대한 신뢰를 약화시킬 수 있다.

시장 심리

약세, 스트레스 국면, 이벤트 주도, 공포.

이유: 7천만 달러가 넘는 비트코인이 Coldcard 펌웨어 결함을 통해 빠져나갔고, 이는 셀프 커스터디 사용자에게 직접적인 보안 스트레스를 만든다.

유사 과거 사례

2023년 Atomic Wallet 해킹에서 여러 자산에 걸쳐 많은 지갑이 털린 뒤 사용자들은 3,500만 달러 이상을 잃었다. (Fortune) 핵심 차이는 Coldcard 사건이 펌웨어가 생성한 복구 시드에 초점을 맞추는 반면, Atomic Wallet 사례는 소프트웨어 지갑 침해와 관련됐다는 점이다.

파급 효과

첫 번째 경로는 셀프 커스터디 신뢰다. 시드 생성 결함은 오프라인 보관이 소프트웨어 리스크에서 덜 분리된 것처럼 보이게 할 수 있기 때문이다. 긴급 패치 이후 더 많은 지갑 자금 유출이 나타나면, 우려는 하나의 펌웨어 버그에서 더 광범위한 복구 시드 교체 행동으로 옮겨갈 수 있다. 두 번째 경로는 커스터디 방식이다. 사용자가 단일 기기 보관이 집중된 운영 리스크를 만드는지 재평가할 수 있기 때문이다.

기회와 리스크

기회: Coinkite 업데이트에서 신규 유출이 억제된 것으로 나타나면, 셀프 커스터디 신뢰 안정화는 지갑 인프라 노출을 모니터링하는 사용자에게 잠재적 진입 신호가 될 수 있다.

리스크: 기존 복구 시드가 계속 사용되거나 추가 자금 유출이 나타나면, 단일 지갑 구성에 대한 의존도를 줄이는 것이 또 다른 유출로 인한 하방 리스크를 제한한다.