이는 공격자가 지갑에 물리적으로 접근하지 않고도 기기 일련번호, 클록(clock) 값 등 공개 가능한 데이터만으로 시드를 원격에서 복원하고 개인키를 무차별 대입(brute-force)할 수 있게 만들었습니다. 단, 설정 과정에서 직접 주사위를 굴리는 등 자체 생성 시드(dice rolls)를 사용한 사용자는 영향을 받지 않았습니다.

공격 타임라인: 5일간 4차례 파도

• 2021년 3월 — 취약한 펌웨어 코드가 콜드카드 업데이트에 포함되었습니다.
• 2026년 7월 30일 01:10~01:51 UTC — 첫 번째 대규모 탈취: 단 41분 만에 1,196개 주소에서 1,082.65 BTC(당시 약 700억 원)가 사라졌습니다. 이 공격은 콜드카드 제조사 코인카이트(Coinkite)가 공개 경고를 발령하기 약 30시간 전에 시작되었습니다.
• 2026년 7월 30일 저녁(ET) — 25분간의 두 번째 공격으로 약 500개 지갑에서 594 BTC(약 380억 원)가 추가로 탈취되었습니다.
• 2026년 7월 말~8월 3일 — 갤럭시 리서치(Galaxy Research)가 추적한 결과, 최소 2차례 이상의 추가 파동과 14건의 소규모 사건이 확인되었습니다.
• 2026년 7월 31일 — 코인카이트가 모든 해당 모델에 대한 긴급 펌웨어 패치를 배포했습니다.
• 2026년 8월 1~4일 — 공격이 계속되면서 공개 경고 수위가 높아졌고, 갤럭시 리서치는 피해 추정액을 여러 차례 상향 조정했습니다.
• 2026년 8월 7~12일 — 온체인 여파 데이터가 본격적으로 나타나기 시작했습니다.

총 피해 규모

가장 포괄적인 피해 추정치는 TRM Labs와 갤럭시 리서치가 집계한 **약 1,816 BTC(당시 약 1,160억 원)**로, 5,200개 이상의 주소에서 4차례 공격 파동에 걸쳐 도난당했습니다. 초기 보고서(1,367 BTC, 약 890억 원 수준)는 조사가 진행 중이던 단계의 추정치였습니다. 일부 소식통은 의심되는 4차 공격까지 포함할 경우 최종 피해가 2,055 BTC(약 1,300억 원)에 달할 수 있다고 전망했습니다.

시장 대이동: 233,000 BTC(약 20조 원)의 장기 보유 지갑 이탈

해킹 발생 후 며칠 동안 온체인 분석 기업들은 대규모 자금 이동을 포착했습니다:

• Checkonchain 데이터에 따르면 약 **233,000 BTC(약 20조 원)**가 장기 보유자 지갑을 떠났습니다.
• Glassnode는 약 **210,000 BTC(약 17조 8천억 원)**가 155일 이상 휴면 상태였던 지갑에서 빠져나갔다고 보고했습니다. 이는 2024년 12월 이후 단일 주간 기준 최대 규모의 장기 보유 비트코인 이탈이었습니다.

이 대규모 이동은 콜드카드 사용자의 자금 이전뿐 아니라, 카사(Casa) CEO 닉 뉴먼(Nick Neuman)의 말처럼 레저(Ledger)와 트레저(Trezor) 사용자를 포함한 광범위한 공포 심리가 반영된 결과였습니다.

신규 지갑 생성 급증: 한 주에 227만 개

2026년 8월 8일경 마감된 주에 비트코인 네트워크는 연중 최고치의 온체인 활동을 기록했습니다:

• 227만 개의 신규 지갑이 생성되었습니다.
• 75만 1,000개의 활성 지갑이 기록되었습니다.

이는 지갑 보유자들이 콜드카드 기기에서 자금을 긴급히 이동하고 완전히 새로운 지갑을 생성했기 때문으로 분석됩니다.

셀프 커스터디 논란 재점화

이번 사건은 하드웨어 지갑과 셀프 커스터디(self-custody)의 보안 가정에 대한 격렬한 논쟁을 불러일으켰습니다:

• 카사 CEO 닉 뉴먼은 일부 고객들이 콜드카드 사태를 계기로 셀프 커스터디를 포기하고 적격 수탁기관(qualified custodian)으로 전환하는 사례가 있었다고 전했습니다.
• 보안 전문가들은 이번 공격이 물리적 접근 없이, 사용자 과실 없이 이루어졌다는 점에서 하드웨어 지갑의 근본적인 보안 약속에 대한 신뢰를 흔들었다고 지적했습니다.

코인카이트의 핵심 경고: 펌웨어 업데이트만으로는 부족하다

코인카이트는 긴급 패치와 함께 중요한 경고를 발표했습니다:

• 취약한 펌웨어에서 생성된 시드는 영구적으로 손상되었습니다. 펌웨어를 업데이트해도 이미 약화된 시드를 강화할 수 없습니다.
• 해당 사용자는 반드시 패치된 펌웨어나 영향받지 않은 하드웨어에서 완전히 새로운 시드를 생성하고, 자금을 새 지갑으로 이전해야 합니다.
• 기존 시드는 절대 재사용해서는 안 됩니다.

보안 연구원들은 이번 사건이 '콜드 월렛'이라 해도 펌웨어와 난수 생성기 구현이 핵심이며, 다중 서명(multisig)과 분산 보관의 필요성을 다시 한번 일깨워주었다고 평가하고 있습니다.

이는 공격자가 지갑에 물리적으로 접근하지 않고도 기기 일련번호, 클록(clock) 값 등 공개 가능한 데이터만으로 시드를 원격에서 복원하고 개인키를 무차별 대입(brute-force)할 수 있게 만들었습니다. 단, 설정 과정에서 직접 주사위를 굴리는 등 자체 생성 시드(dice rolls)를 사용한 사용자는 영향을 받지 않았습니다.

공격 타임라인: 5일간 4차례 파도

• 2021년 3월 — 취약한 펌웨어 코드가 콜드카드 업데이트에 포함되었습니다.
• 2026년 7월 30일 01:10~01:51 UTC — 첫 번째 대규모 탈취: 단 41분 만에 1,196개 주소에서 1,082.65 BTC(당시 약 700억 원)가 사라졌습니다. 이 공격은 콜드카드 제조사 코인카이트(Coinkite)가 공개 경고를 발령하기 약 30시간 전에 시작되었습니다.
• 2026년 7월 30일 저녁(ET) — 25분간의 두 번째 공격으로 약 500개 지갑에서 594 BTC(약 380억 원)가 추가로 탈취되었습니다.
• 2026년 7월 말~8월 3일 — 갤럭시 리서치(Galaxy Research)가 추적한 결과, 최소 2차례 이상의 추가 파동과 14건의 소규모 사건이 확인되었습니다.
• 2026년 7월 31일 — 코인카이트가 모든 해당 모델에 대한 긴급 펌웨어 패치를 배포했습니다.
• 2026년 8월 1~4일 — 공격이 계속되면서 공개 경고 수위가 높아졌고, 갤럭시 리서치는 피해 추정액을 여러 차례 상향 조정했습니다.
• 2026년 8월 7~12일 — 온체인 여파 데이터가 본격적으로 나타나기 시작했습니다.

총 피해 규모

가장 포괄적인 피해 추정치는 TRM Labs와 갤럭시 리서치가 집계한 **약 1,816 BTC(당시 약 1,160억 원)**로, 5,200개 이상의 주소에서 4차례 공격 파동에 걸쳐 도난당했습니다. 초기 보고서(1,367 BTC, 약 890억 원 수준)는 조사가 진행 중이던 단계의 추정치였습니다. 일부 소식통은 의심되는 4차 공격까지 포함할 경우 최종 피해가 2,055 BTC(약 1,300억 원)에 달할 수 있다고 전망했습니다.

시장 대이동: 233,000 BTC(약 20조 원)의 장기 보유 지갑 이탈

해킹 발생 후 며칠 동안 온체인 분석 기업들은 대규모 자금 이동을 포착했습니다:

• Checkonchain 데이터에 따르면 약 **233,000 BTC(약 20조 원)**가 장기 보유자 지갑을 떠났습니다.
• Glassnode는 약 **210,000 BTC(약 17조 8천억 원)**가 155일 이상 휴면 상태였던 지갑에서 빠져나갔다고 보고했습니다. 이는 2024년 12월 이후 단일 주간 기준 최대 규모의 장기 보유 비트코인 이탈이었습니다.

이 대규모 이동은 콜드카드 사용자의 자금 이전뿐 아니라, 카사(Casa) CEO 닉 뉴먼(Nick Neuman)의 말처럼 레저(Ledger)와 트레저(Trezor) 사용자를 포함한 광범위한 공포 심리가 반영된 결과였습니다.

신규 지갑 생성 급증: 한 주에 227만 개

2026년 8월 8일경 마감된 주에 비트코인 네트워크는 연중 최고치의 온체인 활동을 기록했습니다:

• 227만 개의 신규 지갑이 생성되었습니다.
• 75만 1,000개의 활성 지갑이 기록되었습니다.

이는 지갑 보유자들이 콜드카드 기기에서 자금을 긴급히 이동하고 완전히 새로운 지갑을 생성했기 때문으로 분석됩니다.

셀프 커스터디 논란 재점화

이번 사건은 하드웨어 지갑과 셀프 커스터디(self-custody)의 보안 가정에 대한 격렬한 논쟁을 불러일으켰습니다:

• 카사 CEO 닉 뉴먼은 일부 고객들이 콜드카드 사태를 계기로 셀프 커스터디를 포기하고 적격 수탁기관(qualified custodian)으로 전환하는 사례가 있었다고 전했습니다.
• 보안 전문가들은 이번 공격이 물리적 접근 없이, 사용자 과실 없이 이루어졌다는 점에서 하드웨어 지갑의 근본적인 보안 약속에 대한 신뢰를 흔들었다고 지적했습니다.

코인카이트의 핵심 경고: 펌웨어 업데이트만으로는 부족하다

코인카이트는 긴급 패치와 함께 중요한 경고를 발표했습니다:

• 취약한 펌웨어에서 생성된 시드는 영구적으로 손상되었습니다. 펌웨어를 업데이트해도 이미 약화된 시드를 강화할 수 없습니다.
• 해당 사용자는 반드시 패치된 펌웨어나 영향받지 않은 하드웨어에서 완전히 새로운 시드를 생성하고, 자금을 새 지갑으로 이전해야 합니다.
• 기존 시드는 절대 재사용해서는 안 됩니다.

보안 연구원들은 이번 사건이 '콜드 월렛'이라 해도 펌웨어와 난수 생성기 구현이 핵심이며, 다중 서명(multisig)과 분산 보관의 필요성을 다시 한번 일깨워주었다고 평가하고 있습니다.