비트코인(BTC) 1,000개 이상이 단 41분 만에 도난당하면서 하드웨어 지갑 '콜드카드'의 보안 취약성이 심각한 문제로 부각되고 있다. 7월 30일(UTC 기준) 01시10분부터 01시51분 사이에 1,082.65 BTC가 6개 블록을 통해 1,196개의 지갑에서 유출되었으며, 이는 약 7,000만 달러, 한국 원화로는 1,011억 원에 해당하는 금액이다. 초기 보고보다 피해 규모가 증가한 이유는 이 자금이 4개의 주소로 분산되었기 때문이다. 현재까지 그 자금은 이동하지 않은 상태이다.

전문가들은 이번 사건이 단순한 해킹을 넘어 '체계적 탐색' 공격으로 분석된다고 경고하고 있다. 갤럭시 리서치에 따르면, 탈취된 비트코인은 연속 패턴이 아닌 배치 형태로 전송되었고, 다양한 주소 형식이 동시에 사용된 것으로 파악되었다. 이는 공격자가 특정 사용자를 겨냥한 것이 아니라 가능한 모든 키를 대입하는 방식으로 진행된 것임을 의미한다.

콜드카드의 보안 취약점은 주로 지갑의 난수 생성 과정에서 발생하였다. 이 과정은 원래 전용 하드웨어를 통해 예측 불가능한 값을 생성해야 하지만, 내부 설정 오류로 인해 난수 생성 과정이 생략되었다. 대신 칩의 일련번호와 클럭 값에 기반한 단순한 소프트웨어 방식이 사용되면서 개인키 생성 가능한 범위가 사실상 무한에서 유한으로 축소된 것이다. 일부 모델에서는 가능한 조합이 약 40억 개로 줄어들었다. 이 수치는 일반인에게는 상당해 보일 수 있지만, 컴퓨터에게는 매우 쉽게 계산 가능한 범위다.

해커는 가능한 시드값을 대량으로 생성하고, 이를 블록체인 주소와 비교하여 자금을 찾아내는 방식으로 공격을 감행하였다. 이 과정은 피해자의 기기와는 무관하게 진행되며, 심지어 지갑이 금고에 들어가 있거나 전원이 꺼져 있어도 공격이 가능하다는 점이 심각한 문제다. 갤럭시 리서치는 이번 사건을 무작위 공격이 아닌, 반복될 수 있는 구조적인 문제로 경고하며 추가 피해 가능성을 제기하고 있다.

또한, 사용자들은 자신의 지갑이 과연 취약한지 확인할 방법이 없다는 점에서 우려를 나타내고 있다. 현재 콜드카드 제조사인 코인카이트는 일부 모델에 대해 경고를 발표했지만, 블록 측의 보고서에서는 더 많은 모델이 영향받을 수 있다고 경고하고 있어 논란이 생기고 있다. 공격자는 로그를 남겨 기술적인 해킹을 수반한 것으로 보이며, 해당 데이터는 당국에 제출된 상태다.

전문가들은 이번 사건이 '콜드 스토리지'에 대한 인식 자체를 재편하는 계기가 될 수 있다고 평가하고 있다. 기존의 보안 관념은 '키에 접근할 수 없다면 안전하다'는 전제로 세워졌지만, 이제는 '키를 예측할 수 있는가'가 더 중요한 문제로 대두되고 있다. AI 기술의 발전 또한 상황을 더욱 복잡하게 만든다. 최근 한 연구에서는 AI 모델이 60시간 만에 차세대 암호 알고리즘의 보안을 반으로 낮춘 결과를 보여주며, 보안 설계 검증에 소요되는 시간이 지극히 짧아질 수 있음을 알렸다.

암호화폐 보안의 취약점이 '보관'보다 '생성' 단계에서 더 심각해지고 있는 현재, 이번 비트코인 탈취 사건은 보안 패러다임의 중요한 전환점을 나타내고 있다. 이에 따라 하드웨어 지갑 선택 시 펌웨어와 난수 생성 방식을 반드시 검증해야 하며, 기존 사용자들은 즉시 안전한 새로운 시드로 자산 이전을 고려하는 것이 중요하다. 이와 함께 지갑 제조사의 공지사항 및 보안 업데이트를 지속적으로 확인하는 노력이 절대적으로 필요하다.