하드웨어 지갑 취약성 노출…"단일 콜드월렛 시대 끝났다"

비트코인 하드웨어 지갑 콜드카드, 해킹 7300여개 지갑 탈취"진정한 난수 대신 예측가능 정보 기반으로 복구문구 생성한 탓"피해규모 계속 집계 중…최종 탈취규모 2000BTC 넘을 수도"추가 보안장치 활용하고, 한 지갑에 모든 자산 보관하 피해야" 등록 2026-08-05 오전 9:34:26 수정 2026-08-05 오전 9:34:26 가 가 [이데일리 이정훈 기자] 비트코인 전용 하드웨어 지갑 콜드카드(COLDCARD)가 지난달 말 대규모 해킹 공격을 받아 2000BTC 이상이 탈취된 것으로 추정되면서 하드웨어 지갑의 보안성에 대한 우려가 커지고 있다. 전문가들은 이번 사태로 인해 단일 콜드월렛에 자산을 보관하던 시대는 사실상 막을 내렸다고 보고 있다. 콜드카드는 캐나다 기업 코인카이트(Coinkite)가 개발한 비트코인 전용 하드웨어 지갑으로, 인터넷과 완전히 분리된 에어갭(Air-gapped) 서명 방식을 지원하는 것이 특징이다. 그러나 이번 공격에서는 2021년 3월 배포된 펌웨어의 치명적인 결함이 악용됐다. 이 버그는 일부 지갑이 복구 문구(Seed Phrase)를 생성할 때 충분한 무작위성을 확보하지 못하도록 만들었으며, 결과적으로 공격자들이 물리적으로 지갑에 접근하지 않고도 개인키를 복원해 비트코인을 탈취할 수 있도록 했다. 일반적인 비트코인 지갑은 12~24개의 단어로 구성된 복구 문구를 생성한다. 이 복구 문구는 비트코인을 관리하는 개인키를 복원할 수 있는 핵심 정보다. 그러나 이번 사건에서는 다수의 콜드카드 지갑에서 비트코인이 동시에 빠져나가면서 비수탁형(Non-custodial) 콜드월렛의 보안 문제가 수면 위로 떠올랐다. 이번 취약점을 가장 먼저 분석한 것은 핀테크 기업 블록(Block)의 비트코인 엔지니어링 및 보안팀이다. 이들은 이번 해킹의 근본 원인이 기기의 하드웨어 난수 생성기(Hardware RNG) 대신 MicroPython의 ‘Yasmarang’ 의사난수 생성기(PRNG)가 사용된 데 있다고 밝혔다. 이 기능은 libNgU 라이브러리를 통해 구현됐는데, 진정한 난수 대신 기기에 인쇄된 고유 ID(Unique ID), 기기가 켜진 이후 경과한 시간(밀리초 단위), 버튼을 누른 순서와 입력 이력 등 예측 가능한 정보를 기반으로 복구 문구를 생성했다. 즉, 완전한 암호학적 난수가 아니라 제한된 경우의 수에서 복구 문구가 생성됐던 것이다. 공격자들은 2021년 당시의 취약한 콜드카드 ...