최근 프랑스 파리에서 열린 결혼식 중, 스완(Swan)의 CEO인 코리 클립스텐(Cory Klippsten)은 긴급한 상황에 직면했다. 대규모 비트코인(BTC) 탈취 사건이 발생했기 때문이다. 하드웨어 지갑인 '콜드카드(Coldcard)'의 오래된 펌웨어에 존재하던 결함이 악용되어 약 1600BTC, 즉 약 1억 달러(약 1425억 원) 규모의 자금이 유출되는 사건이 벌어진 것이다.

이번 사건의 발단은 2021년 3월에 배포된 특정 펌웨어 업데이트였다. 이 업데이트로 인해 일부 사용자 지갑의 프라이빗 키의 보안 수준이 저하되었으며, 이 심각한 취약점은 무려 5년 동안이나 발견되지 않은 채 방치되었다. 갤럭시 리서치에 따르면, 공격자는 세 차례에 걸쳐 총 7300개 주소에서 자금을 빼내는 방식으로 공격을 진행했다.

비트코인 플랫폼 스완은 즉각적인 대응에 나섰다. 위험에 처한 계정의 출금을 일시 중단하고, 사용자들에게 앱 내 경고를 발송하며 신규 마이그레이션 지원을 확대했다. 클립스텐 CEO는 "모든 직원이 업무를 중단하고 고객에게 연락했으며, 스완 사용자뿐만 아니라 도움이 필요한 모든 이에게 지원을 아끼지 않을 것"이라고 전했다.

현재 탈취된 자금의 약 90%는 아직 온체인에서 이동하지 않았으며, 공격자의 주소는 미국 연방 수사 당국에 전달되었다. 캐나다의 코인카이트(Coinkite)는 모든 영향을 받은 기기에 대한 패치를 이미 완료하였다. 한편 오픈소스 보안 단체 오픈새츠(OpenSats)의 지원을 받은 자원 봉사 팀이 150개 이상의 저장소를 점검한 결과, 이번 취약점은 콜드카드에만 국한된 것으로 확인되었다.

이 사건은 개인적으로 자산을 보관하는 '자기 보관(self-custody)' 방식에 대한 회의론을 불러일으켰다. 일각에서는 개인 지갑 대신 ETF 등의 간접 투자 수단을 고려해야 한다는 의견도 제기였다. 그러나 스완 CEO는 "사용자들이 자기 보관을 포기하는 대신 접근을 더 어렵게 만드는 방식으로 소지가 커지고 있다"고 강조했다.

실제로, 다중서명 기반 서비스인 '스완 볼트(Swan Vault)'를 사용해 자금을 이동하는 사례가 늘고 있다. 이 서비스는 단일 기기만으로는 접근할 수 없도록 설계되어 보안성을 크게 높인다. 클립스텐은 이번 사건을 "고통스럽지만 전환점이 될 사건"이라고 평가하며, 많은 사용자들이 업계의 권고를 따랐음에도 피해를 입은 점은 안타깝다고 덧붙였다. 그럼에도 그는 "비트코인은 본질적으로 '반취약적'이며, 도구는 신속하게 개선되고 있다. 이 사건이 오히려 자기 보관 기술을 강화하는 계기가 될 수 있다"고 전했다.

이번 사건은 하드웨어 지갑조차 모든 취약점을 완전히 막을 수 없다는 점을 상기시키며, 개인 자산의 보호 방법에 대한 경각심을 불러일으켰다. 특히 5년간 방치된 펌웨어 결함으로 인해 대규모 해킹이 발생했음을 감안할 때, 장기 보유자들은 보안 업데이트의 중요성을 다시 한 번 인식해야 한다. 물론 아직 90%의 자금이 이동되지 않았고, 취약점이 특정 제품에 국한되어 있다는 점에서 전반적인 시스템 붕괴로 해석되지는 않을 것이다.

전문가들은 단일 지갑이나 단일 키에 의존하는 것이 리스크가 크므로, 멀티시그(다중서명) 도입이 필수 대안으로 떠오르고 있다고 강조하고 있다. 또한 정기적인 펌웨어 업데이트 점검 및 오래된 기기의 즉시 점검이나 교체가 필요하다고 조언한다. ETF 등 간접 투자와 자기 보관에 대한 논란이 재점화되고 있지만, 시장은 '더 안전한 자기 보관'으로 발전하고 있는 흐름을 보이고 있다.