[이데일리 이정훈 기자] 가상자산 업계가 또 한 번 대규모 보안 사고에 흔들리고 있다. 이번에는 캐나다 업체가 만든 하드웨어 지갑이 해킹 당하면서 수천개 비트코인 주소가 금전적 피해를 입었다.



3일(현지시간) 주요 외신들을 종합하면, 캐나다 기술기업 코인카이트(Coinkite)가 제작한 초고보안 하드웨어 지갑인 콜드카드(Coldcard) 사용자들을 대상으로 최근 네 차례에 걸친 대규모 해킹이 발생했다. 이번 공격으로 5200개 이상의 비트코인 주소가 피해를 입었고, 블록체인 분석업체 갤럭시 리서치(Galaxy Research)에 따르면 해커들은 지금까지 1816BTC, 1억1600만달러(원화 약 1660억원) 어치를 탈취한 것으로 확인됐다.

갤럭시 리서치는 자금 이동을 추적한 결과, 지난달 30일 단 41분 만에 1196개 주소에서 1083BTC(약 7020만달러)가 모두 인출된 사실을 확인했다. 다음 날에는 초기 피해 가운데 상당 부분인 594BTC(약 3800만달러)가 약 500개의 단일서명(Single-signature) 지갑에서 불과 25분 만에 유출된 것으로 추가 확인됐다.

세 번째 공격은 금요일 정오부터 토요일 오전 사이 발생했으며, 1912개 주소에서 208BTC가 추가로 탈취됐다. 이어 3일 오전 네 번째 공격이 확인되면서 전체 피해 규모는 1816BTC까지 늘어났다.

이번 공격의 배후는 아직 밝혀지지 않았다. 최근 대규모 가상자산 해킹이 북한이나 러시아의 국가 지원 해킹 조직과 연관되는 사례가 많았지만, 수사 당국은 이번 사건을 특정 세력과 연결짓지는 못한 상태다.

콜드카드는 비트코인 개인키를 인터넷과 완전히 분리된 상태에서 보관하는 하드웨어 지갑이다. 장기 투자자를 위한 ‘콜드 스토리지’ 솔루션으로 가장 안전한 보관 방식 중 하나로 평가받아 왔지만, 지갑 생성 과정의 치명적인 취약점이 이번 사고의 원인으로 지목됐다.

문제의 원인은 2021년 콜드카드 소프트웨어 업데이트에서 비롯됐다. 당시 업데이트는 지갑 복구 문구(Recovery Phrase)를 생성하는 방식을 변경했다. 복구 문구는 ‘pepper’, ‘floorboard’와 같은 여러 개의 무작위 단어로 구성되며, 비트코인 주소를 복원하는 데 사용되는 핵심 보안 정보다.

핀테크 기업 블록(Block)의 비트코인 엔지니어링 및 보안팀 보고서에 따르면, 업데이트 이후 콜드카드는 복구 문구 생성 과정에서 기존의 강력한 난수(Randomness) 생성 방식을 사용하지 않고 일정한 패턴을 따르는 방식으로 변경했다. 공격자들은 이러한 생성 방식을 역으로 구현해 수많은 복구 문구를 자동으로 생성한 뒤 실제 지갑과 일치하는 문구를 찾아냈다. 이를 통해 하드웨어 기기에 직접 접근하지 않고도 지갑을 복원해 자산을 탈취할 수 있었다는 설명이다.

코인카이트는 이후 공개 서한을 통해 콜드카드에서 생성한 시드(seed)를 사용하는 모든 이용자들에게 즉시 자산을 새로운 지갑으로 이전할 것을 강력히 권고했다. 회사측은 “지난 사흘 간은 회사 역사상 가장 힘든 시간이었으며, 피해를 입은 이용자들에게는 그보다 훨씬 더 끔찍한 시간이었다”고 밝혔다.

이번 사건은 올해 발생한 수백 건의 가상자산 해킹 가운데 하나다. 블록체인 분석업체 TRM랩스(TRM Labs)에 따르면 최근 6개월 동안 발생한 가상자산 해킹 사건은 총 207건으로 반기 기준 사상 최대치를 기록했다. 다만 피해 규모는 약 9억7200만달러로, 2025년 상반기 기록했던 23억달러의 절반 이하 수준이다.

이번 사고는 가상자산 업계에도 큰 충격을 안겼다. 크립토 트위터(Crypto Twitter)에서는 업계 관계자와 인플루언서들이 이번 해킹의 의미를 두고 활발한 논의를 이어가고 있다.

아울러 이번 사건은 비트코인 보관 방식을 둘러싼 오랜 논쟁에도 다시 불을 지폈다. 일부 투자자들은 여전히 자산을 직접 보관(Self-custody)해야 한다는 입장을 유지하고 있지만, 다른 한편에서는 이번 사고를 계기로 바이낸스(Binance)나 코인베이스(Coinbase) 같은 대형 중앙화 거래소가 오히려 더 안전하고 관리하기 쉬운 선택이라는 의견도 나오고 있다.

바이낸스 창업자 창펑 자오(CZ) 역시 최근 소셜미디어를 통해 “나는 자가 보관을 지지하는 사람이지만, 그만큼 모든 책임도 본인에게 돌아온다”고 말했다.