보도 종합
하드웨어 지갑 제조사 콜드카드의 시드 키 생성 로직 결함을 악용한 대규모 탈취 사건이 확산되고 있다. 갤럭시 리서치가 최초 분석을 발표한 7월 말 시점에 피해 규모는 주소 약 1,200개·비트코인 1,000개(당시 시가 약 7,000만 달러)였으나, 8월 2일(ET) 기준 공격이 3차 스위프 파동까지 이어지면서 피해 주소 4,500개, 손실 약 8,900만 달러(약 1,250억 원) 수준으로 불어났다.
이번 공격의 핵심은 기기 자체를 건드리지 않았다는 점이다. 갤럭시 리서치에 따르면 특정 방식으로 생성된 콜드카드 시드의 무작위성이 충분하지 않았고, 공격자는 이를 이용해 오프라인에서 예측 가능한 범위의 개인 키를 대량 재생성한 뒤 잔고를 스캔하고 자동으로 자금을 인출했다. 물리적 기기가 탈취되거나 네트워크에 노출된 적 없는 “콜드” 지갑에서 비트코인이 빠져나간 것이어서 자기 보관(Self-Custody) 신뢰의 근간을 흔드는 사건으로 받아들여지고 있다.
3차 파동에서 공격자는 표적을 소액 잔고 주소로 확대하고 온체인 자금 수집 방식을 바꿔 추적을 어렵게 했다. 취약점이 발생한 구체적 펌웨어 버전이나 시드 생성 시기에 대한 제조사의 공식 입장은 8월 2일 현재 아직 확인되지 않았다.
매체별 시각
| 매체 | 핵심 프레임 | 강조점 |
|---|---|---|
| CoinDesk (공격 확산 보도) | 3차 파동·규모 추적 | 피해 주소 4,500개·손실 8,900만 달러로 확산, 공격 전술 변화 · 약한 시드 생성→오프라인 키 재생성→자동 인출 경로 상세 해설 |
| The Block | 초기 피해 집계 | 갤럭시 리서치 발표 기준 1,200주소·1,000BTC·7,000만 달러 첫 보도 |
일치하는 대목 · 세 매체 모두 갤럭시 리서치의 온체인 분석을 1차 출처로 삼아 콜드카드 시드 결함이 근본 원인임을 동일하게 짚는다.
갈리는 대목 · The Block은 사건 초기 피해 수치 집계에 집중한 반면, 코인데스크는 공격 메커니즘 해설과 이후 피해 확산 추적 두 방향으로 보도를 이어갔다. 공격 원리에 대한 해설 깊이가 두드러지게 갈렸고, 제조사 콜드카드의 공식 대응에 대한 서술은 세 보도 모두 제한적이었다.
맥락과 의미
암호화폐 자기 보관의 가장 중요한 전제는 ‘개인 키를 네트워크에 노출하지 않으면 안전하다’는 것이다. 하드웨어 지갑은 바로 그 전제 위에 설계된다. 이번 사건은 그 전제를 키 생성 단계의 취약점으로 무너뜨렸다는 점에서 단순한 해킹 피해를 넘어선다.
취약한 난수 생성에 의한 개인 키 탈취는 이전에도 사례가 있었다. 2013년 안드로이드 비트코인 지갑들이 Java SecureRandom 결함으로 키가 유추 가능해지면서 피해가 발생한 바 있고, 2023년 파사파이(Profanity) 주소 생성기 취약점으로 이더리움(ETH) 수천만 달러가 탈취됐다. 이번 콜드카드 사건은 하드웨어 기기 자체가 아닌 펌웨어 내 시드 생성 로직의 결함이라는 점에서 하드웨어 지갑 업계 전체로 신뢰 질문이 번질 수 있다.
또한 이번 공격의 확산 속도가 특이하다. 1,200개 주소에서 시작해 며칠 새 4,500개로 늘고 소액까지 흡수하고 있다는 것은 공격자가 자동화된 스캐닝·스위프 도구를 갖추고 있음을 시사한다. 자기 보관 생태계에서 키 생성 로직에 대한 독립적 감사 요구가 높아질 가능성이 크다.
한국 투자자 관점
미국 주식 관점
이번 사건의 직접적 시장 충격은 자기 보관 비트코인 보유자에게 집중되며, 거래소 보관 자산이나 현물 비트코인 상장지수펀드(ETF)와는 직접 관련이 없다. 다만 비트코인 보안 신뢰도에 대한 대형 부정적 뉴스가 반복될 경우 기관 투자 심리가 단기 위축될 수 있다.
- IBIT (iShares Bitcoin Trust ETF): 블랙록(BLK) 커스터디 체계로 이번 취약점과 무관하나, 비트코인 자기 보관 신뢰 훼손 뉴스가 확산되면 단기 개인 투자자 투자 심리에 소폭 영향을 줄 수 있다. 현물 ETF 순유입 흐름은 커스터디 사고가 아닌 자기 보관 사고에 대해 역사적으로 제한적 반응을 보여왔다.
- COIN (코인베이스(COIN)): 거래소 및 기관 커스터디를 제공하는 구조상 이번 사건의 피해 범위 밖이다. 오히려 자기 보관 리스크가 부각될수록 거래소·기관 커스터디 수요 논리가 강화되는 측면이 있다.
- MSTR (마이크로스트래티지): 기업 트레저리(Treasury) 전략으로 대규모 비트코인을 보유하나 기관급 커스터디를 이용하므로 이번 사건과 직접 연관은 없다. 비트코인 가격 자체가 이번 뉴스로 크게 흔들릴 경우 MSTR 주가 연동성에 주목할 필요가 있다.
국내 영향
국내 주식 시장에 대한 직접 파급은 제한적이다. 콜드카드는 북미·유럽 중심 제품이며, 국내 상장 하드웨어 지갑 관련 기업이 없다. 가상자산 거래 비중이 높은 카카오(크립토 계열 카카오엔터프라이즈·그라운드X)나 두나무(업비트 모회사, 비상장)는 자기 보관 취약점과 무관한 거래소 사업 모델이다. 단, 국내에서도 콜드카드 사용자가 상당수 있어 피해 주소 범위 확인 및 자산 이전 필요 여부를 개인 차원에서 점검해야 할 사안이다.
비트코인 가격 자체가 이번 사건으로 하락할 경우 국내 가상자산 거래소 거래대금과 연동된 두나무·빗썸코리아(비상장)의 수익에 간접 영향이 생길 수 있으나, 현 시점에서 비트코인 가격 충격은 아직 제한적이다.
관전 포인트
- 8월 초, 콜드카드 제조사 코인키트(Coinkite)의 공식 취약 버전 범위 발표 및 피해 범위 확정 여부
- 8월 초–중순, 갤럭시 리서치 추가 온체인 분석 업데이트, 4차 스위프 파동 발생 여부 및 공격자 주소 클러스터링 결과
- 8월 7일(ET) 21:30 KST, 7월 비농업 고용지표(NFP), 거시 위험 회피 기조 강화 여부가 비트코인 포함 위험자산 전반 심리에 영향
- 8월 12일(ET) 21:30 KST, 7월 소비자물가지수(CPI), 인플레이션 재가속 신호 시 비트코인 ETF 자금 유출입 방향 주목
FAQ
- 콜드카드 하드웨어 지갑을 쓰면 무조건 위험한가요?
- 전체 콜드카드 기기가 위험한 것은 아닙니다. 이번 피해는 특정 시기 또는 방식으로 시드를 생성한 지갑에 집중됩니다. 콜드카드 공식 채널의 취약 버전 안내를 확인하고, 해당 범위에 해당하면 새 지갑으로 자산을 이전하는 것이 권고됩니다.
- 공격자는 어떻게 실제 기기 없이 개인 키를 알아냈나요?
- 갤럭시 리서치에 따르면, 시드 생성 과정의 무작위성이 충분하지 않아 공격자가 오프라인에서 예상 가능한 범위의 키를 대량으로 재생성하고 잔고를 스캔한 뒤 자금을 자동 인출했습니다. 기기 자체가 해킹된 것이 아닙니다.
- 피해 규모가 왜 계속 커지고 있나요?
- 공격자가 1차·2차에 이어 3차 스위프 파동에서 더 작은 잔고 주소로 표적을 확장하고 온체인 자금 수집 방식을 바꿔가며 공격을 이어가고 있기 때문입니다. 피해 주소는 최초 1,200개에서 4,500개 수준으로 늘었습니다.
- 비트코인 ETF나 거래소 보관 자산도 영향을 받나요?
- 이번 공격은 사용자가 직접 관리하는 자기 보관(Self-Custody) 지갑에 한정됩니다. IBIT 같은 현물 비트코인 ETF나 주요 중앙화 거래소의 커스터디 자산은 이번 취약점과 무관합니다.
출처
※ 본 콘텐츠는 정보 제공 목적이며 투자 권유나 자문이 아닙니다. 투자 판단의 책임은 투자자 본인에게 있습니다.