Coldcard 펌웨어 결함으로 비트코인 주소 4,585개에서 8,900만 달러 유출

핵심 포인트

2021년 3월 Coldcard 펌웨어 릴리스의 코딩 오류로 공격자들이 4,585개 주소에서 약 1,367 BTC, 약 8,900만 달러 상당을 훔칠 수 있었다. Galaxy Research는 7월 30일부터 8월 2일 사이 세 차례 공격에 걸친 탈취를 추적했다. Coldcard Mk3 펌웨어 버전 4.0.1의 결함은 시드 문구 생성을 기기의 전용 하드웨어 칩이 아니라 소프트웨어 기반 난수 생성기로 연결했다. Coinkite CEO Rodolfo Novak은 7월 31일 사과하며 회사가 이 펌웨어 버그에 대해 전적인 책임을 인정한다고 밝혔다. Coinkite는 일부 Mk4, Mk5 및 Coldcard Q 펌웨어 버전으로 권고 대상을 확대하고 긴급 펌웨어 업데이트를 배포했다.

왜 중요한가: 예측 가능한 키 생성은 셀프 커스터디 도구에 대한 신뢰를 약화시킬 수 있으며, 사용자가 지갑 보안에 대한 전제를 재평가하게 만들 수 있다.

시장 심리

신중한 약세, 스트레스 국면, 이벤트 주도.

이유: Coldcard 펌웨어 결함으로 공격자들이 약 1,367 BTC를 훔칠 수 있었기 때문에, 투자자들은 이 사건을 셀프 커스터디 보안 충격으로 받아들일 수 있다.

유사 과거 사례

2023년 Atomic Wallet 사용자들은 광범위한 지갑 침해 이후 3,500만 달러 이상을 잃었고, 이 사건은 피해 사용자들과 조사자들을 자금 추적 및 회수 노력으로 몰아넣었다. (BleepingComputer) 차이점: Atomic Wallet 사례는 핫월렛 서비스와 관련된 반면, 현재 사례는 하드웨어 지갑 펌웨어의 난수 결함이 중심이다.

파급 효과

주요 경로는 하드웨어 지갑의 키 생성에 대한 신뢰다. 예측 가능한 시드는 사용자를 새 주소나 중앙화 거래 장소로 이동하게 할 수 있기 때문이다. 취약한 키 공간에서 추가적인 스윕이 나타나면, 셀프 커스터디 리스크는 피해 사용자에서 더 넓은 지갑 신뢰로 확산될 수 있다.

기회와 리스크

기회: 긴급 펌웨어 업데이트와 새 주소 이전이 노출된 지갑 집합을 줄인다면, 그 신호 이후 셀프 커스터디 노출을 다시 구축하는 것은 운영 리스크를 줄일 수 있다.

리스크: 취약한 키 공간에서 새로운 스윕이 계속된다면, 영향을 받은 Coldcard 생성 단일 서명 주소에 대한 노출을 줄이는 것이 하방 리스크를 제한한다.