8,900만달러어치 비트코인을 가져간 것은 지갑을 뚫은 해킹이 아니었다

7월 30일부터 나흘 동안 4,585개의 비트코인 주소에서 1,367 BTC, 약 8,900만달러어치가 빠져나갔다. 지갑을 물리적으로 뺏기거나 비밀번호가 새어 나간 사건이 아니다.

비트코인 콜드월렛 공격이 4,500개 주소로 번지며 피해가 8,900만달러에 다가섰다 (코인데스크, 2026-08-01)

출처: coindesk.com

원인은 2021년 3월에 배포된 콜드카드 펌웨어 하나였다.

난수가 약하면 무엇이 무너지나

하드웨어 지갑은 인터넷에 연결하지 않는 것을 안전장치로 삼는다. 열쇠가 기기 밖으로 나가지 않으니 남이 훔쳐 갈 길이 없다는 논리다. 그 논리는 열쇠가 처음에 아무도 짐작할 수 없는 방식으로 만들어졌을 때만 성립한다. 지갑의 열쇠는 시드 문구라고 부르는 단어 묶음에서 나오고, 그 단어 묶음은 기기 안의 난수생성기가 뽑는다. 콜드카드 Mk2와 Mk3 일부에 들어간 2021년 3월 펌웨어는 이 과정의 일부를 전용 하드웨어 난수 대신 소프트웨어 난수로 처리했다. 그러면 나올 수 있는 열쇠의 가짓수가 확 줄어든다. 공격자는 기기를 만질 필요 없이, 자기 컴퓨터에서 그 가짓수를 전부 만들어 놓고 어느 주소에 돈이 들어 있는지 맞춰 보기만 하면 된다. 인터넷에 연결하지 않았다는 방어가 여기서는 아무 일도 하지 못한다.

펌웨어를 고쳐도 시드는 바뀌지 않는다

원문이 옮긴 기사 제목은 주소 1,200개 기준이다. 갤럭시 리서치가 세 파도를 모두 세었을 때 숫자는 4,585개였다. 숫자보다 중요한 것은 결함이 남는 방식이다. 펌웨어는 고칠 수 있지만, 그 펌웨어로 이미 만들어진 시드 문구는 그대로 남는다. 그래서 문제의 기기를 쓰던 사람은 업데이트만으로는 안전해지지 않고, 새 지갑을 만들어 자금을 옮겨야 한다. 5년이라는 시차가 생긴 이유가 여기에 있다.

콜드카드가 남긴 질문은 자가보관이 아니다

피터 시프는 오래된 비트코인 회의론자이고, 금괴 판매사를 운영한다. 그가 이 기사를 옮긴 맥락은 그 자체로 감안하고 읽는 편이 낫다. 같은 사건을 다룬 IG의 정리는 다른 쪽을 짚는다. 보안 연구자들은 이번 일이 자가보관이 거래소 보관보다 본질적으로 위험하다는 증거는 아니라고 본다. 둘은 아예 다른 종류의 위험이다. 자가보관은 펌웨어 결함과 사용자 실수를 안고, 거래소 보관은 파산과 출금 정지를 안는다.

콜드카드 하드웨어 지갑 해킹이 자가보관에 뜻하는 것 (IG, 2026-08-03)

출처: ig.com

그러니 이번 일로 갈리는 것은 자가보관이냐 거래소냐가 아니다. 내 열쇠가 언제 어떤 소프트웨어로 만들어졌는지를 확인할 수 있느냐다. 확인할 수 없는 열쇠는 인터넷에 연결하지 않아도 이미 공개된 것이나 다름없다.