공격자, Coldcard 주소에서 비트코인 1억1600만 달러 탈취

핵심 포인트

공격자는 7월 30일 이후 Coldcard 기기에서 생성된 5,200개 이상의 주소에서 약 1,816비트코인, 약 1억1600만 달러를 이동했다. Galaxy Research는 최대 규모의 스윕이 41분 동안 1,196개 지갑에서 1,082비트코인을 가져간 것이라고 집계했다. 2021년 3월 출시된 Coldcard 펌웨어 버전 4.0.0에는 기기가 전용 하드웨어 난수 칩을 건너뛰도록 하는 빌드 설정이 들어 있었다. Coinkite 최고경영자 Rodolfo Novak은 Coldcard 지갑으로 시드를 생성한 사용자들에게 업데이트된 모범 관행에 따라 자금을 이전하라고 촉구했다. 최소 50회의 비공개 주사위 굴림으로 시드를 생성했거나 강력한 패스프레이즈를 사용한 보유자는 영향을 받지 않았다.

왜 중요한가: 지갑 엔트로피 실패는 오프라인 자기수탁을 숨은 키 노출로 바꿀 수 있으며, 하드웨어 지갑 보안에 대한 신뢰를 약화시킬 수 있다.

시장 심리

신중한 약세, 스트레스 국면, 기술 주도, 위험 축소.

이유: Coldcard 생성 주소에서 보고된 탈취는 자기수탁 하드웨어 보안에 대한 신뢰를 약화시킬 수 있다.

유사 과거 사례

The Block에 따르면 Trust Wallet은 브라우저 확장 프로그램의 WebAssembly 취약점을 수정했으며, 이 문제로 사용자 손실 17만 달러가 발생했다. 이 사례는 취약한 시드 생성이 피싱이나 기기 도난 없이도 지갑을 노출시킬 수 있음을 보여줬다. (The Block) 핵심 차이는 Trust Wallet 사례가 브라우저 확장 프로그램 소프트웨어와 관련된 반면, 현재 사건은 Coldcard 하드웨어 지갑의 시드 생성과 관련된다는 점이다.

파급 효과

엔트로피에 대한 의구심은 사용자를 단일 기기 수탁에서 더 많은 운영 통제가 있는 시스템으로 이동시킬 수 있다. 대형 보유자가 하드웨어 격리만으로는 숨은 구현 리스크를 통제하지 못한다고 판단하면 수탁 수요가 증가할 수 있다. Coinkite가 기술 검토와 이전 지침을 공개한다면, 피해 확산 억제는 사용자가 취약한 시드를 얼마나 빨리 교체하느냐에 달릴 수 있다.

기회와 리스크

기회: Coinkite가 기술 검토를 공개하면, 명확한 결함 경계는 하드웨어 지갑 사용자에게 잠재적인 신뢰 회복 신호가 될 수 있다. 이전 지침의 범위가 좁은 것으로 확인되면, 더 강한 엔트로피 통제를 갖춘 자기수탁 제공업체가 사용자 신뢰를 얻을 수 있다.

리스크: 추가 유출 물결이 Coldcard 생성 주소를 비운다면, 단일 기기 노출을 줄이는 것이 운영상 손실을 제한할 수 있다. 기술 검토에서 더 광범위한 시드 생성 노출이 드러나면, 영향을 받은 사용자 전반에서 수탁 리스크가 높은 상태로 남을 수 있다.