7월 30일 새벽 41분 만에 Coldcard 지갑 1,196개에서 1,082 BTC가 인출됐고, 최초 보도($3,800만)의 두 배로 피해가 불어남
수법이 콜드월렛의 존재 이유를 무너뜨립니다.
펌웨어 결함으로 전용 난수생성기가 꺼진 채 칩 일련번호+시계값으로 시드를 생성했고, 그 결과 키 조합이 사실상 무한대에서 약 40억 개로 붕괴 — 공격자는 자기 컴퓨터에서 후보 시드를 전부 생성해 블록체인과 대조하는 것만으로 키를 재구성했습니다.
피해자의 기기는 금고 속에 꺼져 있어도 소용없는 구조
더 무서운 건 끝나지 않았다는 점입니다.
소유자가 자기 시드가 취약 범위인지 확인할 방법 자체가 없고, Galaxy는 자금을 옮기지 않으면 추가 인출 물결이 올 수 있다고 경고했습니다.
제조사 Coinkite는 구형(Mk3)만 해당한다는 입장이지만, Block 리서치는 Mk2·Mk4·Q·Mk5까지 사정권으로 봅니다.
공격자는 한 가지 실수를 남겼습니다.
스윕 과정에서 유명 블록체인 데이터 업체의 유료 계정으로 주소를 조회했고, 업체 로그가 요청 횟수·타이밍까지 작업 패턴과 정확히 일치 — 관련 정보는 이미 수사기관에 넘어감
콜드월렛의 약속은 키에 닿을 수 없다가 아니라 키를 추측할 수 없다였고, 이번 사건은 그 전제가 펌웨어 한 줄로 무너질 수 있음을 보여줬습니다.
마침 AI가 60시간 만에 양자내성 후보 알고리즘의 보안을 절반으로 깎았다는 연구까지 나온 주간 — 키를 안전하게 보관하는 건 이제 문제의 쉬운 절반이 된 것 같네요.