$1.3억 달러 콜드카드 해킹: 2021년 펌웨어 버그가 비트코인 최고의 보안 지갑을 무너뜨리고 ETF 붐을 부채질한 방법

이 이야기는 단 하나의 빌드 설정 오류가 최고의 보안 제품을 예측 가능한 개인 키를 생성하는 기계로 바꿔놓은 과정과, 그 여파가 어떻게 비트코인 현물 ETF 시장까지 파장을 일으켰는지에 대한 이야기입니다.

콜드카드 익스플로잇은 어떻게 작동했나

캐나다 기업 코인카이트(Coinkite)가 만든 콜드카드 하드웨어 지갑은 단 하나의 목적, 즉 초고도 보안 비트코인 저장을 위해 설계되었습니다. 핵심 가치 제안은 개인 키가 장치를 절대 떠나지 않으며, 시드 생성이 전용 하드웨어 난수 생성기(RNG) 칩에서 무작위성을 추출하도록 되어 있다는 점이었습니다 .

버그: 2021년 3월, 코인카이트는 펌웨어 버전 4.0.0을 출시했는데, 여기에 빌드 설정 오류가 포함되어 있었습니다. 펌웨어는 시드 생성 과정을 전용 하드웨어 RNG로 연결하지 않고, 조용히 소프트웨어 기반 의사 난수 생성기(PRNG)로 대체했습니다 . 내부 플래그인 MICROPY_HW_ENABLE_RNG = 0이 하드웨어 무작위성 경로를 효과적으로 비활성화한 것입니다 .

결과: 시드 엔트로피가 붕괴했습니다. 안전한 하드웨어 생성 시드는 128비트 키 공간을 제공합니다. 이는 2¹²⁸개의 가능한 값을 의미하며, 천문학적으로 커서 무차별 대입이 사실상 불가능합니다. 소프트웨어 대체로 인해 이 공간은 40비트, 즉 약 40억 개의 가능한 값으로 줄어들었습니다 . 충분한 정보를 가진 결의에 찬 공격자에게 이 키 공간은 원격으로 열거하기에 충분히 작았습니다.

공격자들은 장치 일련 번호, 클록 판독값 및 기타 공개적으로 관찰 가능한 데이터를 제한된 키 공간과 결합하여 지갑 시드 구문을 재구성할 수 있었습니다 . 그런 다음 자신의 컴퓨터에서 후보 시드를 생성하고, 주소를 파생시킨 다음 비트코인 블록체인에서 해당 주소를 확인하여 잔액이 있는 지갑을 찾았습니다. 전체 공격은 피해자의 장치에 물리적으로 접근할 필요가 없었습니다 .

공격 물결 타임라인

익스플로잇은 여러 물결에 걸쳐 전개되었으며, 가장 공격적인 행동은 첫 몇 시간 동안 발생했습니다.

• 1차 공격 (7월 30일, 약 10분): 주요 공격자는 가장 큰 지갑을 우선 순위로 삼아 약 3천만 달러의 비트코인을 탈취했습니다 .
• 1차 공격 연장 (25분): 25분 이내에 약 500개의 지갑에서 3,800만 달러 이상이 인출되었습니다 .
• 1차 공격 전체 (41분): 갤럭시 리서치(Galaxy Research)는 첫 번째 공격을 41분 만에 1,196개 주소에서 1,082.65 BTC(당시 약 7,020만 달러)가 인출된 것으로 파악했습니다 .
• 후속 공격: 8월 초까지 갤럭시는 3개의 주요 공격 물결과 14개의 소규모 사건을 확인했으며, 최소 12명의 서로 다른 해커가 콜드카드 사용자를 적극적으로 표적으로 삼고 있었습니다 . 총 피해 주소는 5,200개를 넘어섰으며, 일부 추정치는 7,300개에 달했습니다 .

8월 4일 기준으로 갤럭시 리서치는 1,596 BTC가 도난당했다는 데 높은 확신을 가지고 있었으며, 확인되지 않은 손실은 추가로 3천만 달러에 달했습니다 . 총 피해액은 약 1억 3천만 달러로 정리되었습니다 .

온체인 여파: 콜드카드 이탈 러시

해킹은 즉각적인 자금 이탈을 촉발했습니다. 비트코인은 8월 첫째 주에 227만 개의 새 지갑과 75만 1천 개의 활성 지갑을 기록했는데, 이는 몇 달 만에 가장 강력한 온체인 활동으로, 보유자들이 콜드카드에서 자금을 옮기기 위해 경쟁했기 때문입니다 .

결정적으로, 펌웨어를 업데이트해도 영향을 받은 시드를 고칠 수 없었습니다. 유일한 해결책은 패치된 펌웨어에서 새 시드를 생성하고 신중하게 자금을 이전하는 것이었습니다 . 이는 취약한 펌웨어 버전(4.0.1~5.0.3, Mk2 및 Mk3 모델)에서 생성된 시드를 가진 모든 지갑은 사용자가 수동으로 코인을 옮길 때까지 영구적으로 위험에 노출되어 있음을 의미했습니다 .

ETF 유입 급증: 일주일 만에 8억 5,350만 달러

2026년 8월 첫째 주, 미국 비트코인 현물 ETF는 8억 5,350만 달러의 순유입을 기록했습니다. 이는 2026년 4월 이후 최고의 주간 실적이었습니다 . 유입은 광범위했지만 상위 펀드에 집중되었습니다.

• 일별 유입액: 월요일 1억 7천만 달러, 화요일 2억 1,150만 달러, 수요일 2억 4,440만 달러, 목요일 1억 2,870만 달러, 금요일 9,890만 달러 .
• 선두: 블랙록의 아이셰어즈 비트코인 트러스트(IBIT)가 주간 총액의 약 6억 9,300만 달러(전체 유입액의 약 81%)를 차지했습니다 .
• 피델리티의 FBTC가 1억 1,650만 달러로 2위를 차지했습니다 .

ETF 급증은 7월 초까지 8주 연속 유출(82억 6천만 달러)이 이어진 후에 발생했습니다 . 반전은 급격하고 갑작스러웠으며, 콜드카드 해킹과 시기가 일치하면서 즉각적인 추측을 불러일으켰습니다.

논쟁: 해킹 vs. 거시경제 — 무엇이 자금 흐름을 주도했나?

시기가 매우 인상적이었습니다. 콜드카드 공격은 7월 30~31일에 알려졌습니다. ETF 유입 행진은 8월 3일 월요일에 시작되었습니다. 하지만 같은 주 금요일(8월 7일)에 미국 노동통계국은 충격적으로 약한 7월 고용 보고서를 발표했습니다. 두 사건 모두 ETF 매수를 촉발할 수 있었으며, 분석가들은 어느 것이 주요 원인이었는지에 대해 여전히 의견이 분분합니다.

해킹이 원인이라는 주장

• 직접적인 시기: ETF 유입은 콜드카드 익스플로잇이 널리 알려진 지 며칠 만에 시작되었습니다 .
• 보관 신뢰 위기: 이 해킹은 자기 보관에 대한 신뢰를 직접적으로 훼손했습니다. 오래된 암호화폐 격언인 "네 키가 아니라면 네 코인도 아니다"가 역전되어, 이 경우 자신의 키를 보유하는 것이 손실로 이어졌습니다. 블룸버그 분석가는 이 사건이 일부 투자자들이 자기 보관을 재고하고 ETF 제공자와 같은 규제 대상 수탁자로 전환하고 있는지에 대한 논쟁을 "불붙였다"고 언급했습니다 .
• 이동의 온체인 증거: 새 지갑 생성 급증과 콜드카드에서 자금 이탈은 "보관소로의 도피"와 일치했습니다 .

거시경제가 원인이라는 주장

• 7월 고용 쇼크: 미국 비농업 고용 보고서는 합의 예상치인 8만 건 증가를 크게 밑돌며 2만 3천 건 감소를 기록했습니다. 이전 달은 추가로 10만 3천 건 하향 조정되었습니다 .
• 연준 금리 경로 재조정: 9월 연준 금리 인상 가능성은 55%에서 20%로 급락했습니다 . 시장은 즉각 정책 동결 가능성을 반영했으며, 이는 비트코인을 포함한 위험 자산에 강력한 상승 촉매제입니다.
• 비트코인 가격 반응: 비트코인은 고용 지표 실패 소식에 65,000달러를 넘어 상승했습니다 .
• 이전의 거시경제 민감도: 8주 연속 ETF 유출 행진은 이미 7월 초, 약한 6월 고용 보고서(5만 7천 개 일자리, 예상치 크게 하회)가 2억 2,170만 달러의 유입을 촉발하면서 반전되었습니다 . 이는 콜드카드 익스플로잇 이전에 ETF 흐름이 이미 거시경제 상황에 다시 민감해졌음을 시사합니다.

증거가 가리키는 방향

주요 매체에 걸쳐 조사된 대부분의 분석가는 ETF 급증이 같은 방향으로 작용하는 두 가지 힘에 의해 주도되었을 가능성이 높다고 결론지었습니다 . 해킹은 미시적 수준의 "보관소로의 도피" 동기, 즉 자기 보관 사용자들이 보안 설정을 재고하게 만든 구체적인 이유를 제공했습니다. 약한 고용 보고서는 거시적 수준의 "위험 선호" 촉매제, 즉 기관 자본을 비트코인을 포함한 모든 위험 자산으로 유입시키는 광범위한 통화 정책 변화를 제공했습니다.

한 블룸버그 분석가가 말했듯이, 해킹과 ETF 유입 사이의 인과 관계는 "불분명"하지만, 그 우연의 일치가 "논쟁을 불붙였다"고 할 수 있습니다 . MSN Money 분석은 해킹이 거시경제적 요인에 의해 주도되었을 수 있는 변화에 "편리한 내러티브"를 제공했지만, 비트코인 ETF 초기 이후 처음으로 보관 논쟁이 "최전선"에 놓이게 되었다고 지적했습니다 .

분명한 것은: 8억 5,350만 달러 유입 주는 4월 이후 최고였으며, 두 가지 주요 사건—한 세대에 한 번 있을 법한 하드웨어 지갑 실패와 충격적인 고용 보고서—이 같은 기간에 수렴했다는 점입니다. 보관 문제와 거시경제 전망 모두 그 주 이전보다 더 불확실해졌습니다. 깔끔한 답변 대신 이러한 불확실성이 진정한 교훈입니다.