1,160억 원 규모 콜드카드 지갑 해킹의 전말: 5년 전 묻힌 펌웨어 버그가 어떻게 비트코인 대량 탈취로 이어졌나

2026년 7월 30일부터 시작된 콜드카드(Coldcard) 하드웨어 지갑 해킹은 사상 최대 규모의 하드웨어 지갑 침해 사건으로 기록되었습니다. 근본 원인은 2021년 3월 펌웨어 업데이트 과정에서 발생한 통합 오류로, 지갑 시드(seed) 생성 시 난수 생성기가 우회되면서 보안 강도가 치명적으로 약화된 점에 있었습니다.

취약점 원인: 빌드 플래그 하나가 무너뜨린 암호학적 보안

2021년 3월 업데이트부터 콜드카드 Mk2 및 Mk3 모델(펌웨어 버전 4.0.0~5.0.3)에서 심각한 오류가 발생했습니다. 지갑 시드 생성 시 전용 하드웨어 난수 생성기(Hardware RNG)를 사용하지 않고, 소프트웨어 의사 난수 생성기(Pseudo-RNG)를 통해 시드가 만들어졌습니다. 그 결과 예정된 128비트 엔트로피 대신 최저 40비트 수준의 엔트로피만 확보되어, 가능한 시드 조합이 약 40억 개 수준으로 줄어들었습니다.

이는 공격자가 지갑에 물리적으로 접근하지 않고도 기기 일련번호, 클록(clock) 값 등 공개 가능한 데이터만으로 시드를 원격에서 복원하고 개인키를 무차별 대입(brute-force)할 수 있게 만들었습니다. 단, 설정 과정에서 직접 주사위를 굴리는 등 자체 생성 시드(dice rolls)를 사용한 사용자는 영향을 받지 않았습니다.

공격 타임라인: 5일간 4차례 파도

• 2021년 3월 — 취약한 펌웨어 코드가 콜드카드 업데이트에 포함되었습니다.
• 2026년 7월 30일 01:10~01:51 UTC — 첫 번째 대규모 탈취: 단 41분 만에 1,196개 주소에서 1,082.65 BTC(당시 약 700억 원)가 사라졌습니다. 이 공격은 콜드카드 제조사 코인카이트(Coinkite)가 공개 경고를 발령하기 약 30시간 전에 시작되었습니다.
• 2026년 7월 30일 저녁(ET) — 25분간의 두 번째 공격으로 약 500개 지갑에서 594 BTC(약 380억 원)가 추가로 탈취되었습니다.
• 2026년 7월 말~8월 3일 — 갤럭시 리서치(Galaxy Research)가 추적한 결과, 최소 2차례 이상의 추가 파동과 14건의 소규모 사건이 확인되었습니다.
• 2026년 7월 31일 — 코인카이트가 모든 해당 모델에 대한 긴급 펌웨어 패치를 배포했습니다.
• 2026년 8월 1~4일 — 공격이 계속되면서 공개 경고 수위가 높아졌고, 갤럭시 리서치는 피해 추정액을 여러 차례 상향 조정했습니다.
• 2026년 8월 7~12일 — 온체인 여파 데이터가 본격적으로 나타나기 시작했습니다.

총 피해 규모

가장 포괄적인 피해 추정치는 TRM Labs와 갤럭시 리서치가 집계한 **약 1,816 BTC(당시 약 1,160억 원)**로, 5,200개 이상의 주소에서 4차례 공격 파동에 걸쳐 도난당했습니다. 초기 보고서(1,367 BTC, 약 890억 원 수준)는 조사가 진행 중이던 단계의 추정치였습니다. 일부 소식통은 의심되는 4차 공격까지 포함할 경우 최종 피해가 2,055 BTC(약 1,300억 원)에 달할 수 있다고 전망했습니다.

시장 대이동: 233,000 BTC(약 20조 원)의 장기 보유 지갑 이탈

해킹 발생 후 며칠 동안 온체인 분석 기업들은 대규모 자금 이동을 포착했습니다:

• Checkonchain 데이터에 따르면 약 **233,000 BTC(약 20조 원)**가 장기 보유자 지갑을 떠났습니다.
• Glassnode는 약 **210,000 BTC(약 17조 8천억 원)**가 155일 이상 휴면 상태였던 지갑에서 빠져나갔다고 보고했습니다. 이는 2024년 12월 이후 단일 주간 기준 최대 규모의 장기 보유 비트코인 이탈이었습니다.

이 대규모 이동은 콜드카드 사용자의 자금 이전뿐 아니라, 카사(Casa) CEO 닉 뉴먼(Nick Neuman)의 말처럼 레저(Ledger)와 트레저(Trezor) 사용자를 포함한 광범위한 공포 심리가 반영된 결과였습니다.

신규 지갑 생성 급증: 한 주에 227만 개

2026년 8월 8일경 마감된 주에 비트코인 네트워크는 연중 최고치의 온체인 활동을 기록했습니다:

• 227만 개의 신규 지갑이 생성되었습니다.
• 75만 1,000개의 활성 지갑이 기록되었습니다.

이는 지갑 보유자들이 콜드카드 기기에서 자금을 긴급히 이동하고 완전히 새로운 지갑을 생성했기 때문으로 분석됩니다.

셀프 커스터디 논란 재점화

이번 사건은 하드웨어 지갑과 셀프 커스터디(self-custody)의 보안 가정에 대한 격렬한 논쟁을 불러일으켰습니다:

• 카사 CEO 닉 뉴먼은 일부 고객들이 콜드카드 사태를 계기로 셀프 커스터디를 포기하고 적격 수탁기관(qualified custodian)으로 전환하는 사례가 있었다고 전했습니다.
• 보안 전문가들은 이번 공격이 물리적 접근 없이, 사용자 과실 없이 이루어졌다는 점에서 하드웨어 지갑의 근본적인 보안 약속에 대한 신뢰를 흔들었다고 지적했습니다.

코인카이트의 핵심 경고: 펌웨어 업데이트만으로는 부족하다

코인카이트는 긴급 패치와 함께 중요한 경고를 발표했습니다:

• 취약한 펌웨어에서 생성된 시드는 영구적으로 손상되었습니다. 펌웨어를 업데이트해도 이미 약화된 시드를 강화할 수 없습니다.
• 해당 사용자는 반드시 패치된 펌웨어나 영향받지 않은 하드웨어에서 완전히 새로운 시드를 생성하고, 자금을 새 지갑으로 이전해야 합니다.
• 기존 시드는 절대 재사용해서는 안 됩니다.

보안 연구원들은 이번 사건이 '콜드 월렛'이라 해도 펌웨어와 난수 생성기 구현이 핵심이며, 다중 서명(multisig)과 분산 보관의 필요성을 다시 한번 일깨워주었다고 평가하고 있습니다.