📰 핵심 요약

Coldcard 하드웨어 지갑 취약점 사태가 계속 확산되는 가운데, Galaxy Digital 리서치 부문 책임자 Alex Thorn은 피해자 신고가 지속적으로 늘고 있으며 현재 최소 15개의 서로 다른 공격자가 동일한 취약점을 악용한 것으로 확인됐다고 밝혔다. 한 피해자가 1BTC 미만의 손실을 신고한 사례에서 전혀 새로운 공격 물결이 드러났는데, 해커들이 126개 주소에서 총 12BTC를 훔친 것으로 나타났다. 이는 이러한 탈중앙화거래소 방식이 아닌 공격이 단일 사건만으로는 파악하기 어렵고, 피해자들의 자발적 신고를 통해서만 전체 공격 지도를 그려낼 수 있음을 보여준다. Galaxy Research는 이미 확인된 세 차례 공격의 총 손실액이 약 1억 달러까지 늘어난 것으로 추산했으며, 의심되는 네 번째 공격 물결도 추가로 발견돼 확인될 경우 총 손실액이 (BTC 기준) 1억 3천만 달러에 육박할 것이라고 밝혔다.

취약점의 근본 원인에 대해 Castle Labs 공동창업자 Francesco는 Coldcard가 펌웨어 버그로 인해 개인키 엔트로피가 단 40비트에 불과하다고 지적했다. 이는 다른 지갑들이 채택하는 12개 니모닉 단어, 128비트 엔트로피라는 업계 표준보다 현저히 낮은 수준으로, 해킹 난이도를 대폭 낮췄다.

이번 사건은 AI가 취약점 발견을 가속화했는지에 대한 논쟁도 촉발했다. Dragonfly 매니징 파트너 Haseeb Qureshi는 커뮤니티에서 Claude가 단 8분 만에, 오픈소스 모델 GLM 5.2는 웹 검색을 차단한 상태에서도 20분 만에 해당 취약점을 재현했다는 이야기가 나온다며, “2달러짜리 AI 강화 테스트"만 있었어도 이번 사태를 사전에 발견하고 예방할 수 있었을 것이라고 주장했다. 그러나 암호화폐 분석 플랫폼 Tokenomist의 데이터 책임자 Tatsapat Saerejittima는 이를 반박했다. 이른바 AI가 “2분 만에 취약점을 찾았다"는 주장은 사실 취약점이 이미 공개된 이후 한 익명의 Reddit 사용자가 코드를 스캔해 얻은 결과일 뿐, 블라인드 테스트가 아니었으며 방법론이나 오탐률에 대한 기록도 남아있지 않아 근거가 약하다고 지적했다. 이번 사건은 콜드월렛 보안성과 비트코인 자가 보관 리스크에 대한 시장의 논의를 다시 불러일으켰다.

💬 JudyAI Lab 관점

서로 다른 공격자들이 Coldcard 하드웨어 지갑의 동일한 취약점을 악용해 누적 손실이 1억 달러에 육박하면서, 콜드월렛에 대한 신뢰 기반이 다시 도마 위에 올랐다.

이번 사건의 핵심은 단일 공격의 피해 규모가 아니라, 하드웨어 지갑 보안의 두 가지 구조적 문제를 드러냈다는 데 있다. 첫째, 펌웨어 버그로 인해 개인키 엔트로피가 단 40비트에 불과했는데, 이는 업계 표준인 128비트보다 훨씬 낮은 수준으로, 보안이 사용자 조작 실수가 아니라 설계 단계에서부터 이미 취약했음을 의미한다. 둘째, 공격이 126개 주소에 걸쳐 분산되어 있고 15명 이상의 공격자가 각자 독립적으로 손을 댔다는 점이다. 이러한 탈중앙화된 공격 패턴은 개별 피해자가 전체 그림을 파악하기 어렵게 만들며, 사후 신고를 통해서만 실체를 짜맞출 수 있다. AI 빌더에게 주는 시사점은, 보안 테스트가 기능 정상 작동 여부만 검증해서는 안 되며 극한 상황에서 엔트로피, 무작위성 같은 근본적 가정이 실제로 성립하는지까지 검증해야 한다는 것이다. AI가 취약점 발견을 가속화했는지에 대해서는 양측 모두 엄밀한 방법론적 근거가 부족한 상태이므로, 성급한 결론보다는 계속 지켜볼 필요가 있다.

만약 당신의 제품도 암호학적 보안에 의존하고 있다면, 키 생성 엔트로피 소스와 업계 표준 간의 격차를 한 번 재점검해보길 권한다.

📅 원문 정보

🔗 더 읽어보기