하드웨어 지갑으로 널리 사용되는 '콜드카드'에서 심각한 보안 취약점이 발견되어 대규모 비트코인 유출 사건이 발생했다. 이 사건은 비트코인 1000개 이상의 유출을 초래하였으며, 바이낸스 창립자 창펑 자오(CZ)는 분산 보관을 통해 자산을 여러 지갑에 나누는 것이 대응책으로 제안되었다.

이번 보안 문제는 2021년 3월에 출시된 펌웨어의 결함으로 인해 발생하였다. 특정 콜드카드 기기에서 복구 시드 생성 시 활용되는 난수 품질이 저하되어 공격자가 오프라인 상태에서도 개인 키를 재구성할 수 있는 환경이 조성되었다. 이로 인해 물리적인 접근 없이도 자금을 탈취할 수 있다는 경고가 나타나고 있다.

온체인 데이터 분석에 따르면, 지난 7월 30일 약 25분 동안 500개의 지갑에서 594개의 비트코인이 이동한 것으로 확인되었으며, 이는 당시 약 3800만 달러에 해당하는 금액이다. 이후 갤럭시 리서치의 추가 분석에서 전체 피해 규모는 1082.65 비트코인으로 증가했으며, 이는 약 7000만 달러에 해당한다. 특히, 피해를 입은 지갑 중 다수는 오랜 기간 동안 비활성 상태였던 것으로 밝혀졌다.

콜드카드의 제조사인 코인카이트는 해당 결함을 공식적으로 인지하고 사과하며 긴급 펌웨어 업데이트를 진행하였다. 그러나 기존의 취약한 시드를 안전하게 보호하기 위한 단순한 업데이트는 불가능하다고 강조했다. 문제가 있는 버전에서 생성된 시드를 사용한 사용자에게는 새로운 시드를 만들어 자산을 별도로 이전해야 한다고 안내하였다.

CZ는 소셜미디어를 통해 "하드웨어 지갑도 완벽하지 않다"며 "장기간 검증된 장치에서도 버그가 발생할 수 있다"고 지적하였다. 그는 "자산을 여러 지갑에 분산하는 것도 안전한 방법이지만, 이 경우 관리의 복잡성이 새로운 위험 요소가 된다"고 덧붙였다.

이번 사건은 셀프 커스터디의 한계를 다시 한번 강조하는 계기가 되고 있다. 하드웨어 지갑은 오프라인에서의 보안성을 제공한다고 여겨지지만, 이러한 장기간 발견되지 않은 취약점이 존재할 수 있다는 점이 확인되었다. 이는 보안 관리가 단일 수단으로는 이루어질 수 없으며 '분산과 지속적인 점검'이라는 원칙 아래에서 이루어져야 한다는 중요한 교훈을 남기고 있다.

월드 뉴스 업계에서는 콜드카드 하드웨어 지갑의 펌웨어 취약점으로 인해 1000 비트코인 이상의 유출 사건이 발생하며, '오프라인=안전'이라는 인식이 무너지고 있다. 셀프 커스터디의 구조적 리스크가 시장 전반의 보안 인식을 재검토하는 계기가 되고 있다.

이에 따라 단일 지갑에 모든 자산을 집중 보관하는 대신 다중 지갑으로 분산 보관하는 전략이 필요하며, 취약한 버전의 사용자는 즉시 신규 시드를 생성하고 자산을 이전해야 한다. 또한, 지갑과 펌웨어의 정기 점검과 공급사의 공지 모니터링이 필수적이다. 마지막으로 백업 관리 체계를 구축하여 시드를 안전하게 보관하고 복구 리허설을 통해 운영 리스크를 완화해야 한다.