콜드카드 해킹 사태: 1억 3천만 달러 도난, 7,700여 개 지갑 털렸다 — 전체 분석

공격자는 물리적 접근, 피싱 이메일, 또는 악성코드가 필요하지 않았습니다. 약화된 엔트로피 출력을 역설계하여 피해자의 12단어 또는 24단어 시드 문구를 원격으로 재구성했고, 인터넷에 한 번도 연결된 적 없는 지갑까지 털어갔습니다.

콜드카드의 CEO 로돌포 노박(Rodolfo Novak)은 2026년 7월 30일에 이 문제를 확인했으며, 취약점이 오픈소스 펌웨어에서 엔트로피 약점을 대규모로 스캔할 수 있는 AI 도구를 통해 발견되었을 가능성을 시사했습니다.

도난 규모 및 타임라인

공격은 여러 차례의 조직된 물결로 진행됐습니다:

• 7월 30일 — 1차 공격: 동부 시간 기준 오후 9시 56분경 시작된 25분 간의 공격으로, 공격자는 약 500개 지갑에서 약 594 BTC(약 3,800만 달러)를 탈취했으며, 가장 잔액이 큰 지갑을 우선 노렸습니다. 체인널리시스(Chainalysis)는 첫 10분 동안에만 3,000만 달러가 도난당한 것으로 분석했습니다.
• 7월 31일 – 8월 4일 — 2, 3차 공격: 추가 공격으로 피해액은 약 7,300개 주소에서 1,596 BTC(1억 달러 이상)로 불어났습니다.
• 4차 공격 의심: 갤럭시 리서치(Galaxy Research)는 4차 공격 가능성을 제기했으며, 확인될 경우 총 피해액은 2,055 BTC(약 1억 3천만 달러)에 달합니다.

8월 초, TRM Labs는 이번 콜드카드 사건을 2026년 세 번째로 큰 암호화폐 해킹으로 분류했습니다. 갤럭시 리서치는 현재 최소 15개의 독립적인 공격자들이 아직 자금을 옮기지 않은 취약 지갑을 노리고 경쟁 중이라고 밝혔습니다.

8월 7일 자금 이동: 30.185 BTC (약 194만 달러)

2026년 8월 7일, 온체인 추적 업체 룩온체인(Lookonchain)에 따르면 콜드카드 해커와 연결된 지갑이 30.185 BTC(약 194만 달러)를 새로 생성된 주소로 전송했습니다. 이는 초기 공격 이후 도난 자금의 첫 번째 움직임이었습니다.

• 이 전송은 총 도난액 2,055 BTC의 약 1.5% 에 해당합니다.
• 분석가들은 이를 테스트 트랜잭션 또는 대규모 현금화를 위한 예비 단계로 해석했습니다.
• 비트코인 가격은 당시 약 64,152달러에 거래되며 거의 반응하지 않았습니다.

도난 자금의 90% 이상은 아직 움직이지 않음

8월 7일 이체 이후, 도난된 약 2,055 BTC의 약 98.5%가 해커의 지갑에 그대로 남아 있습니다. 이는 대규모 자금 세탁을 시도하기 전에 수개월 또는 수년을 기다리는 정교한 공격자들의 일반적인 패턴과 일치합니다. 블록체인 포렌식 업체와 거래소들은 해당 주소들을 면밀히 추적 중입니다.

코인카이트의 대응 및 펌웨어 업데이트

코인카이트(Coinkite)는 7월 30일 취약점 발견 후 신속하게 대응했습니다:

• 7월 30일 — 긴급 보안 권고를 발행하여 버그를 공개적으로 공지
• 7월 31일 — 모든 영향받은 모델 및 릴리스 트랙에 대한 응급 패치 펌웨어 출시:
  • Mk3: 버전 4.2.0 이상
  • Mk4/Mk5 표준: 버전 5.6.0 이상
  • Q 표준: 버전 1.5.0Q 이상
  • Mk4/Mk5 Edge: 버전 6.6.0X 이상
  • Q Edge: 버전 6.6.0QX 이상

중요 경고: 패치 펌웨어를 설치한다고 이미 손상된 시드가 복구되지는 않습니다. 코인카이트는 모든 영향받은 사용자에게 패치된 펌웨어에서 새 시드를 생성하고 즉시 코인을 옮기라고 당부했습니다. 또한 회사는 취약한 펌웨어로 제조된 남은 재고를 폐기하고 선적을 중단했습니다.

영향받은 펌웨어 버전

• 가장 위험한 경우: Mk3 펌웨어 4.0.1 ~ 4.1.9에서 생성된 시드 (최소 50번의 독립적인 주사위 굴림 또는 강력하고 고유한 BIP-39 패스프레이즈 없이 생성된 경우)
• 영향받은 기타 기기: 위에 나열된 수정 펌웨어 버전 이전의 Mk4, Mk5 및 Q 모델
• 영향받지 않은 경우: 취약한 펌웨어 기간 이전에 생성된 시드; 50회 이상의 주사위 굴림을 사용한 시드; 고유한 BIP-39 패스프레이즈로 보호된 시드; TAPSIGNER, OPENDIME 및 SATSCARD 기기(다른 코드베이스); 취약하지 않은 키를 하나 이상 포함하는 다중 서명 설정

셀프 커스터디 및 암호화폐 커뮤니티에 미치는 영향

• 하드웨어 지갑도 무적이 아니다. 이번 콜드카드 사건은 오프라인 지갑이 원격 시드 도난에 면역이라는 가정을 산산조각냈습니다. 이 결함은 5년 넘게 펌웨어에 숨어 있었습니다.
• 취약한 펌웨어에서 생성된 시드는 영구적으로 손상된다. 수정 프로그램을 설치한 후에도 기존 시드는 여전히 추측 가능합니다. 사용자는 완전히 새로운 지갑을 만들고 자금을 이전해야 합니다.
• 광범위한 시장 공포. 글래스노드(Glassnode)는 해킹 이후 일주일 동안 장기 보유자 지갑(155일 이상 휴면)에서 약 210,000 BTC가 이동했다고 보고했는데, 이는 2024년 이후 가장 큰 규모로, 비트코인 셀프 커스터디 보유자들 사이에 광범위한 신뢰 상실을 시사합니다.
• AI 기반 감사 가속화. 보안 연구원들은 이 공격이 오픈소스 펌웨어에서 엔트로피 약점을 대규모로 스캔할 수 있는 AI 도구에 의해 도움을 받았을 가능성이 높으며, 이 기능은 현재 모든 하드웨어 지갑 프로젝트에서 빠르게 채택되고 있다고 지적합니다.
• "최선을 다했다"는 더 이상 충분하지 않다. 많은 피해자들이 최고의 셀프 커스터디 관행을 따랐음에도 모든 것을 잃었고, 이는 펌웨어 무결성이 하드웨어 지갑 리스크의 새로운 최전선임을 강조합니다.