코인카이트, 콜드카드 Mk3 보안 경고…3800만달러 비트코인 무단 이체 조사 중

31일(현지시간) 가상자산(암호화폐) 전문 미디어 코인텔레그래프에 따르면 코인카이트는 2021년 3월 출시된 Mk3 펌웨어 버전 4.0.1 이상에서 생성된 시드 구문이 자금 탈취 위험에 처할 수 있다고 밝혔다. 영향을 받는 버전은 Mk3 최종 지원 버전인 5.0.3까지이며, Mk4와 Q, Mk5는 해당되지 않는다.

이번 경고는 단일 서명 주소 594.48BTC가 원인 불명의 방식으로 일괄 이체된 사건을 보안 전문가들이 조사하는 가운데 나왔다. 코인게코 기준 해당 비트코인의 가치는 약 3830만달러(약 555억원) 수준이다. 다만 현재까지 Mk3 결함이 이번 이체를 유발했다는 공식적인 증거는 확인되지 않았다.

코인카이트는 영향을 받는 사용자에게 "만일의 사태에 대비해" 결함이 없는 장치에서 새 시드를 생성하고, 백업과 수신 주소를 확인한 뒤 소액 테스트 거래를 먼저 진행하고 나서 나머지 자금을 이전할 것을 권고했다. 조사가 진행 중이며 공식 기술 검토 결과를 추후 공개할 예정이라고 덧붙였다.

이번 사건은 한 레딧 이용자가 2021년 5월 구입한 Mk3에서 생성한 시드로 만든 지갑에서 자금이 빠져나갔다고 제보하면서 주목받기 시작했다. 해당 이용자는 2026년 1월 시드를 Mk4에 복원했다고 밝혔으나, 이 내용은 자체 진술로 Mk3 결함과의 연관성을 입증하지는 않는다.

앵커워치(AnchorWatch) 최고경영자 롭 해밀턴은 "1324개의 미사용 트랜잭션 출력이 3개 블록 내 500건의 거래에 걸쳐 일괄 이체됐으며, 이 중 562BTC는 이후 단일 주소로 통합됐다"며 "얼핏 보면 지갑 생성 과정 어딘가에서 엔트로피 결함이 있었던 것으로 보인다"고 전했다.

케빈 로에크 위저드사딘(Wizardsardine) 최고경영자는 "소프트웨어 라이브러리나 보안 요소, 특정 장치 배치 또는 펌웨어 버전에서 낮은 엔트로피의 난수 생성기가 충분한 무작위성이 부족한 시드를 만들어냈을 가능성이 있다"고 분석했다. 로에크는 이 가설이 사실이라면 일부만 탈취된 지갑도 추가 피해 위험이 남아 있으며, 공격자가 스캔 범위를 확장할 경우 다른 주소 유형에 보관된 자금도 노출될 수 있다고 경고했다.