콜드카드 1,300억 원 해킹 후 대규모 보안 업데이트 단행

비트코인 하드웨어 지갑 제조사 코인카이트가 콜드카드 Mk4, Mk5, Q 모델 사용자를 대상으로 펌웨어 5.6.1 및 1.5.1Q로의 즉각 업그레이드를 권고했다. 이번 조치는 2021년부터 존재했던 시드 생성 결함을 악용한 대규모 해킹 사건의 후속 대응으로, 코인카이트는 외부 보안 연구자 및 AI 모델 'Kimi'를 포함해 3주간의 집중 보안 점검을 실시했다. 이번 취약점의 핵심은 엔트로피 부족이다. 일부 콜드카드 기기에서 시드 생성 시 무작위성이 충분히 확보되지 않아 보안 강도가 128비트에서 약 40비트 수준으로 급격히 낮아졌고, 공격자는 물리적 접근 없이도 개인키를 추측해 지갑을 탈취할 수 있었다. 코인카이트는 공격자가 오픈소스 펌웨어 구버전을 AI로 분석해 결함을 발견했을 가능성을 제기했다. 공격은 7월에 시작됐으며, 첫 번째 공격만으로 25분 만에 약 500개 지갑에서 594 BTC(당시 약 380억 원)가 탈취됐다. Galaxy Research는 8월 초 기준 4,585개 주소에서 약 8,860만 달러(약 1,200억 원) 상당이 도난됐다고 추적했으며, 공격이 의도적이고 프로그래밍 방식으로 진행됐으며 대형 언어 모델(LLM) 활용 가능성을 지적했다. 8월 14일에는 세 차례의 주요 공격파와 수십 건의 소규모 사건을 합산해 총 1,778 BTC 이상, 당시 시세 기준 약 1억 1,200만 달러(약 1,500억 원)가 피해를 입은 것으로 집계됐으며, 현재까지 누적 피해는 약 1억 3,000만 달러(약 1,700억 원)에 달한다. 새 펌웨어는 시드 생성 방식을 근본적으로 변경했다. 이제 사용자는 키 65회 입력, 주사위 50회 굴림, 동전 128회 던지기 중 하나를 통해 직접 무작위성을 추가해야 하며, 기기는 이를 자체 무작위성과 결합해 시드를 생성한다. 또한 기존 Yasmarang 백업 의사난수 생성기를 SHA-256 Hash_DRBG로 교체하고, 하드웨어 난수 생성기 장애를 감지하는 검사 기능도 추가됐다. 2021년부터 2026년 7월 사이에 시드를 생성한 사용자는 반드시 새 펌웨어로 시드를 재생성하고 자산을 새 지갑으로 이전해야 한다. 추가로 부분 서명 비트코인 트랜잭션(PSBT) 보안도 강화됐다. 이전에는 USB로 연결된 손상된 컴퓨터가 사용자 확인 후 서명 전 트랜잭션을 변조할 수 있는 이론적 위험이 있었으나, 업데이트 후에는 서명 직전 트랜잭션 무결성을 재검증해 변조 감지 시 서명을 중단하고 경고를 표시한다. 코인카이트는 이 문제가 이론적 수준이며 실제 악용 사례는 없다고 밝혔다. 렛저 CTO 찰스 길레메는