**레저(Ledger)**의 임원 **이안 로저스(Ian Rogers)**는 1억1,600만달러 규모 콜드카드(Coldcard) 비트코인 도난 사건은 하드웨어 지갑이나 셀프 커스터디 자체가 본질적으로 위험하다는 증거라기보다, 취약한 난수 생성 실패가 인공지능(AI)에 의해 어떻게 증폭될 수 있는지를 보여준 사례라고 지적했다.
핵심 내용
- 콜드카드 시드 생성 결함으로 구형 기기에서는 실질 엔트로피가 약 40비트, 신형 취약 모델에서도 약 72비트 수준으로 떨어진 것으로 추정.
- TRM Labs에 따르면 7월 30일 전후 시작된 도난 공격으로 약 1,816개의 비트코인 (BTC)이 빠져나가, 피해 규모는 약 1억1,600만달러에 달함.
- 로저스는 AI가 취약점 탐색 비용을 크게 낮추고, 인증 정보와 각종 비밀 데이터에 접근하는 자율 에이전트의 등장이 새로운 보안 리스크를 만든다고 경고.
비트코인 지갑 취약성
8월 12일 보도에 따르면, 레저의 최고 휴먼 에이전시 책임자(Chief Human Agency Officer)인 로저스는 이번 사건이 하드웨어 지갑 구조상의 근본적인 취약성을 입증한다는 관점에 선을 그었다. 그는 대신 난수 품질 저하와, 취약한 시스템을 더 효율적으로 찾도록 돕는 AI 도구의 결합을 원인으로 지목했다.
콜드카드 제조사 **코인카이트(Coinkite)**는 공지를 통해 2021년 도입된 펌웨어 문제로 인해 시드 생성 과정이 의도했던 하드웨어 난수 경로가 아닌 소프트웨어 의사난수 생성기(PRNG)를 사용하게 됐다고 밝혔다. 회사의 초기 분석에 따르면, 이 결함으로 Mk2·Mk3 기기의 실질 엔트로피는 약 40비트, 이후 출시된 일부 모델도 약 72비트 수준으로 떨어진 것으로 추정된다.
블록체인 분석업체 TRM Labs는 보고서에서 네 차례에 걸친 도난 공격으로 5,200개가 넘는 주소에서 약 1,816 BTC가 빠져나갔으며, 당시 시가 기준 손실액은 약 1억1,600만달러에 이른다고 분석했다. 레저는 자사 블로그에서 레저 기기는 인증 받은 시큐어 엘리먼트(Secure Element) 내부의 하드웨어 트루 랜덤 넘버 제너레이터(TRNG)를 통해 엔트로피를 생성하며, 소프트웨어 방식으로 폴백(fallback)하지 않는다고 강조했다.
관련 기사: XRP, 1달러 밑으로 밀리는 사이 고래들 3억8,000만 토큰 매집
이안 로저스의 경고
로저스는 AI가 위협 환경을 바꾸는 양상을 세 가지로 정리했다. 첫째, 공격자에게 더 강력한 취약점 탐지 도구를 제공하고, 둘째, 소프트웨어 개발 속도를 가속해 공격 툴의 진화를 빠르게 만들며, 셋째, 민감한 시스템에 접근 권한을 가진 AI 에이전트의 수를 대폭 늘린다는 점이다.
그는 세 번째 리스크가 특히 암호화폐 지갑을 넘어서는 문제라고 강조했다. 기업용 AI 에이전트는 이메일, 로그인 자격 증명, 결제 데이터, 내부 커뮤니케이션 등 광범위한 민감 정보를 다루게 되기 때문이다.
로저스는 AI 에이전트에 대한 접근 제어를 “부모가 언제 십대 자녀에게 자동차 열쇠를 쥐여줄지 결정하는 문제”에 비유했다. 단순 일괄 허용이 아니라, 상황과 맥락에 따라 에이전트가 어떤 민감 권한을 행사할 수 있을지 세밀하게 구분해야 한다는 주장이다. 레저는 에이전트가 지갑을 ‘조작’할 수 있는 권한과 프라이빗 키에 대한 실제 ‘통제’ 권한을 분리하는 툴을 개발하고 있다.
로저스는 **블룸버그(Bloomberg)**와의 인터뷰에서 “자산이 어디에 보관돼 있든, 그것을 보호하는 보안 수준에 관심을 가져야 한다”고 강조했다.
레저는 난수 취약성과 관련해 이미 과거에도 경고를 내놓은 바 있다. 레저의 보안 연구팀인 돈종(Donjon)은 2022년 11월, 브라우저 확장형 **트러스트 월렛(Trust Wallet)**에서 시드 엔트로피가 32비트 수준으로 떨어지는 결함을 발견해 회사 측에 제보한 것으로 알려졌다.
