콜드카드 지갑 결함으로 25분 만에 594 BTC 유출

핵심 포인트

공격자가 콜드카드 하드웨어 지갑의 키 생성 결함을 악용해 약 594 BTC, 약 3,800만 달러 상당을 훔쳤다. 이번 일괄 유출은 금요일 01:31부터 01:56 UTC 사이에 단일 서명 지갑 약 500개를 비웠다. 이 취약점은 2021년 3월 콜드카드 펌웨어 4.0.0에 도입됐으며, 기기가 비밀이 아닌 칩 데이터를 시드값으로 삼는 예측 가능한 소프트웨어 기반 키 생성을 사용하게 만들었다. Coinkite는 펌웨어 4.0.1 이상을 구동하는 Mk3 기기에서 시드를 생성한 사용자들에게 경고했다. Coinkite는 Mk4, Q, Mk5는 현재까지 영향을 받지 않은 것으로 보인다고 밝혔다.

왜 중요한가: 커스터디 실패는 기초 비트코인 네트워크가 영향을 받지 않더라도 셀프 커스터디 도구에 대한 신뢰를 약화시킬 수 있다.

시장 심리

신중한 약세, 스트레스 국면, 이벤트 주도, 위험 축소.

이유: 지갑 키 생성 결함을 통한 약 594 BTC 도난은 광범위한 비트코인 네트워크 스트레스를 입증하지 않으면서도 커스터디 리스크 우려를 높일 수 있다.

유사 과거 사례

2022년 8월, 개발자들은 영향을 받은 지갑에서 약 600만 달러가 도난당한 뒤 솔라나 지갑 유출을 Slope Wallet과 연결했으며, 조사 결과 문제는 베이스체인 장애가 아니라 지갑 노출로 좁혀졌다. (CoinDesk) 차이점은 콜드카드 사례가 솔라나 소프트웨어 지갑 노출이 아니라 비트코인 단일 서명 지갑의 하드웨어 지갑 시드 생성과 관련돼 있다는 점이다.

파급 효과

사용자가 시드를 교체하거나, 자금을 이동하거나, 영향을 받은 하드웨어 지갑 설정에 대한 신뢰를 낮출 때 커스터디 불확실성이 확산될 수 있다. Coinkite가 영향을 받은 기기 경고를 확대하거나 통합 주소가 자금을 이동하면, 시장의 관심은 개별 지갑 손실에서 더 광범위한 커스터디 리스크 모니터링으로 옮겨갈 수 있다.

기회와 리스크

기회: Coinkite가 Mk4, Q, Mk5가 노출 범위 밖에 계속 있다는 점을 확인하면, 그 확인 이후 포지션을 추가하는 것은 이번 사건을 비트코인 네트워크 특유의 문제가 아니라 커스터디 특유의 문제로 볼 수 있다.

리스크: Coinkite가 Mk3 경고를 확대하거나 통합 주소가 움직이면, 익스포저를 줄이는 것이 커스터디 리스크 매도 재개에 따른 하방을 제한한다.