Coldcard 펌웨어 결함 손실, 1억3000만 달러에 이를 가능성

핵심 포인트

Block의 Bitcoin Engineering and Security 팀과 독립 Bitcoin Core 개발자들은 최근 Coinkite Coldcard 지갑 손실을 시드 생성의 펌웨어 결함으로 추적했다. 이 버그는 난수 생성을 STM32 하드웨어 소스에서 MicroPython의 결정론적 Yasmarang 예비 경로로 돌렸다. 펌웨어 4.0.1부터 4.1.9까지를 실행한 Mk2와 Mk3 기기는 무작위성이 검색 가능한 작은 집합으로 축소된 시드를 만들었다. Mk4, Q, Mk5 모델은 약 72비트의 엔트로피를 생성했다. Coinkite의 권고문은 영향을 받은 사용자에게 완전히 새로운 시드를 생성하고 자금을 이동하라고 안내한다. 기존 문구를 다른 제조사의 지갑으로 가져와도 같은 취약성이 남기 때문이다. Lookonchain은 Galaxy Research를 인용해 Coldcard 관련 손실이 영향을 받은 7,700개 이상의 주소 전반에서 2,055 BTC, 약 1억3000만 달러에 이르렀을 수 있다고 추정했으며, Galaxy Digital의 Alex Thorn은 블록체인 패턴만으로는 일부 귀속 판단이 잠정적이라고 경고했다.

왜 중요한가: 시드 생성 결함은 보관 관행이나 기기 이전이 자금을 보호하기 전에 셀프 커스터디를 약화시킬 수 있다.

시장 심리

신중한 약세, 스트레스 국면, 이벤트 주도, 위험 축소.

이유: 펌웨어 결함이 취약한 Coldcard 시드를 만들었기 때문에, 시장은 하드웨어 지갑 보관을 현재 진행 중인 운영 리스크로 볼 수 있다.

유사 과거 사례

2022년 9월 Wintermute는 DeFi 해킹으로 1억6000만 달러를 잃었으며, Forbes는 이 해킹이 취약한 키 생성이 핵심이었던 Profanity 맞춤 주소 도구 때문에 발생했을 수 있다고 보도했다. (Forbes). 차이점은 Wintermute는 기관용 핫월렛 구성이 관련된 반면, Coldcard 사례는 리테일 하드웨어 지갑의 시드 생성이 관련된다는 점이다.

파급 효과

주요 경로는 커스터디 신뢰다. 취약한 시드 생성은 기기 수준 결함을 지갑 수준 손실로 바꿀 수 있기 때문이다. 이전 안내 이후에도 새로운 피해 물결이 계속된다면, 사용자는 취약한 구성에서 자금을 옮기고 셀프 커스터디를 둘러싼 마찰이 커질 수 있다. 손실이 안정된다면 영향은 영향을 받은 Coldcard 시드에 집중된 상태로 남을 수 있다.

기회와 리스크

기회: 이전이 새로운 피해 물결보다 빠르게 진행된다면, 다변화된 시드 생성과 독립적인 서명자 구현은 장기 Bitcoin 보관을 위한 잠재적 리스크 축소 신호가 된다.

리스크: 취약한 시드 경로가 더 나타난다면, 하나의 하드웨어 구현에 대한 의존을 줄이는 것이 공유 실패 영역에서 오는 하방 위험을 제한한다.