갤럭시 리서치는 월요일(현지시간) 콜드카드(Coldcard) 펌웨어 결함을 악용한 것으로 추정되는 네 번째 공격 파동에서 462개 주소에서 거의 389개의 비트코인 (BTC)이 이동했다고 밝혔다. 이들 주소는 콜드카드 펌웨어 결함과 연관된 것으로 지목됐다.
핵심 내용
- 연구진은 462개 의심 피해 주소에서 약 388.93 BTC를 옮긴 218건의 거래를 포착했다.
- 앞선 세 차례 확인된 공격 파동으로 이미 4,585개 주소에서 1,367.05 BTC(약 8,860만 달러)가 탈취됐다.
- 콜드카드는 배송을 중단하고 취약 펌웨어가 탑재된 재고를 폐기했으며, 이용자에게 새 시드를 만든 뒤 자산을 옮기라고 공지했다.
콜드카드 비트코인 ‘스윕’ 확산
알렉스 손(Alex Thorn) 갤럭시 리서치 리서치 총괄은 비트코인 블록 960,778번부터 960,792번 사이에서 발생한 218건의 거래를 추적한 결과, 462개 의심 피해 주소에서 388.93 BTC가 이동한 것을 확인했다고 전했다. 이 모든 활동은 약 2시간 30분 동안 집중적으로 이뤄졌다.
관련 주소에서 발생한 ‘스윕’ 거래는 블록당 평균 13.8건으로, 사고 이전 평균치인 블록당 0.3건 수준과 비교하면 약 45배 급증한 수치다. 일부 물량은 이미 2단계(세컨드 홉) 지갑까지 옮겨진 정황도 포착됐다.
손은 “이들은 콜드카드 피해자일 가능성이 높다”며 거래 패턴을 근거로 “새로운 조직적인 공격 파동이 진행 중이라는 데 상당한 확신을 갖고 있다”고 말했다. 다만 그가 월요일 오전 경고를 낼 당시, 네 번째 파동은 아직 공식적으로 확인되지는 않은 상태였다.
손에 따르면, 유사한 형태의 거래 일부는 현재도 비트코인 메인풀(mempool)에 남아 있으며 ‘수수료 상향 교체(Replace-By-Fee, RBF)’ 기능이 활성화된 상태다. 이 기능은 채굴자가 거래를 블록에 포함시키기 전, 더 높은 수수료를 제시하는 새 거래로 기존 미확정 거래를 교체할 수 있게 한다. 이론적으로는 피해자가 공격자보다 더 높은 수수료를 제시해 공격자 거래를 ‘입찰 경쟁’에서 이길 여지를 남겨두는 셈이다.
콜드카드는 일요일 성명을 통해 취약 펌웨어가 탑재된 기기의 출하를 전면 중단하고, 남은 재고는 전량 폐기했다고 밝혔다. 회사는 패치된 소프트웨어가 설치된 이후에 새로 생성된 시드만 보호할 수 있기 때문에, 노출된 이용자는 반드시 새 시드를 만든 뒤 자산을 옮겨야 한다고 경고했다. 아울러 법무팀이 수사 당국과 공조하는 동안, 피해자는 문제 기기를 보관해 달라고 요청했다.
관련 기사: 아스트라 vs 클로드 Opus 5: 하나는 문제를 쪼개고, 하나는 맥락을 쥔다
비트코인 지갑 보안 리스크 부각
온체인 분석 업체 **온체인 렌즈(Onchain Lens)**는 첫 세 차례 공격 파동에서 확인된 손실 규모를 총 8,860만 달러로 추산했다. 이 가운데 캐나다 거주 보유자 한 명은 불과 몇 분 만에 160만 달러 상당을 잃은 것으로 전해졌다.
글로벌 암호화폐 거래소 바이낸스의 창립자 창펑 자오(Changpeng Zhao), 즉 CZ도 기존 하드웨어 지갑 역시 버그를 내포할 수 있다는 점을 지적하며 자산을 여러 기기로 분산 보관하는 전략을 제안했다. 다만 그는 자산을 쪼개 보관하는 것 또한 다른 유형의 리스크를 수반한다고 인정했다.
콜드카드 측은 이번 사태 대응 과정에서 하드웨어 지갑 제조사, 보안 연구진, 셀프 커스터디(자가 보관) 전문가들로부터 다양한 기술·인력 지원을 받았다고 밝혔다.
회사는 향후 “더 넓은 업계와의 협업에 나서겠다”고 약속했다. 이 같은 약속은 향후 지갑 보안 점검 방식과 취약점 공개 기준에 상당한 영향을 미칠 수 있다는 평가가 나온다.
이번 사태의 ‘1차 대규모 스윕’은 7월 30일 41분 동안 진행되면서 1,196개 주소에서 1,082.65 BTC를 한꺼번에 쓸어갔다. 이후 두 차례 추가 공격 파동이 이어지면서 확인된 총 손실은 4,585개 주소 기준 1,367.05 BTC로 불어났다. 콜드카드는 Satscard, Opendime, Tapsigner 등 다른 제품군은 별도의 코드 베이스를 사용해 이번 취약점의 영향을 받지 않았다고 강조했다.
다음 읽을거리: 왜 이더리움은 애플리케이션 수수료의 4.9%만 가져가는가