"콜드카드, 펌웨어 버그 4년간 방치해 사고 발생"

하드웨어 지갑 콜드카드(Coldcard)의 시드 생성 코드에 잠재된 버그가 수년간 방치되다 대규모 가상자산(암호화폐) 탈취 사건으로 이어졌다는 보도가 나왔다.

17일(현지시간) 가상자산 전문 미디어 코인데스크에 따르면 갤럭시 리서치는 약 7300개 주소에서 비트코인(BTC) 1596개, 현재 가치로 1억달러(약 1415억원) 이상이 탈취됐다고 밝혔다. 갤럭시 리서치 총괄 알렉스 손은 "최소 15명의 공격자가 해당 취약점을 악용한 것으로 추정된다"며 "물리적 접근 없이도 공격이 가능했다"고 전했다.

취약점의 핵심은 지갑의 시드 생성 방식에 있었다. 콜드카드 제조사 코인카이트(Coinkite)가 2021년 3월 출시한 펌웨어 4.0.0 버전에는 난수 생성기 설정을 읽는 코드에 오류가 있었다. 해당 코드는 설정 항목의 존재 여부만 확인할 뿐 실제 활성화 여부를 검증하지 않아, 보안 수준이 높은 하드웨어 난수 생성기 대신 예측 가능성이 높은 소프트웨어 생성기를 사용한 것으로 전해진다.

비트코인 개발자인 제임스 오번은 지난해 5월 코드 감사 과정에서 이 결함 가능성을 코인카이트에 제보했으나, 코인카이트 측은 "실제 문제였다면 이미 발견됐을 것"이라며 사실상 묵살했다. 코드는 공개 소스였지만 외부 검토자들도 시드 생성 흐름 전체를 끝까지 추적하지 않아 오류를 놓쳤다는 설명이다. 코인카이트가 사건 전후로 진행한 인공지능 기반 코드 검토에서도 해당 결함은 발견되지 않았다.

한편 코인카이트는 현재 영향을 받은 모든 콜드카드 모델에 대해 수정 펌웨어를 배포한 상태다. 다만 이번 업데이트는 향후 생성되는 시드의 안전성만 보장하며, 취약한 펌웨어로 이미 생성된 시드는 보호되지 않는다. 코인카이트는 피해 사용자들에게 수정 펌웨어 설치 후 새 시드를 생성하고 기존 주소의 비트코인을 새 주소로 이전할 것을 권고하고 있다.