$1.3억 달러 콜드카드 해킹: 2021년 펌웨어 버그가 비트코인 최고의 보안 지갑을 무너뜨리고 ETF 붐을 부채질한 방법

2026년 7월 30일, 5년간 잠복해 있던 보안 사고가 폭발했습니다. 공격자들이 콜드카드(Coldcard) 하드웨어 지갑에서 비트코인을 빼내기 시작했습니다. 콜드카드는 암호화폐 업계에서 가장 안전한 보관소 중 하나로 오랫동안 여겨져 왔습니다. 공격자들은 2021년 3월에 도입된 펌웨어 버그를 악용했습니다. 첫 10분 동안 약 3천만 달러가 사라졌습니다. 일주일 만에 총 손실액은 1억 3천만 달러를 넘어섰습니다 .

이 이야기는 단 하나의 빌드 설정 오류가 최고의 보안 제품을 예측 가능한 개인 키를 생성하는 기계로 바꿔놓은 과정과, 그 여파가 어떻게 비트코인 현물 ETF 시장까지 파장을 일으켰는지에 대한 이야기입니다.

콜드카드 익스플로잇은 어떻게 작동했나

캐나다 기업 코인카이트(Coinkite)가 만든 콜드카드 하드웨어 지갑은 단 하나의 목적, 즉 초고도 보안 비트코인 저장을 위해 설계되었습니다. 핵심 가치 제안은 개인 키가 장치를 절대 떠나지 않으며, 시드 생성이 전용 하드웨어 난수 생성기(RNG) 칩에서 무작위성을 추출하도록 되어 있다는 점이었습니다 .

버그: 2021년 3월, 코인카이트는 펌웨어 버전 4.0.0을 출시했는데, 여기에 빌드 설정 오류가 포함되어 있었습니다. 펌웨어는 시드 생성 과정을 전용 하드웨어 RNG로 연결하지 않고, 조용히 소프트웨어 기반 의사 난수 생성기(PRNG)로 대체했습니다 . 내부 플래그인

MICROPY_HW_ENABLE_RNG = 0

결과: 시드 엔트로피가 붕괴했습니다. 안전한 하드웨어 생성 시드는 128비트 키 공간을 제공합니다. 이는 2¹²⁸개의 가능한 값을 의미하며, 천문학적으로 커서 무차별 대입이 사실상 불가능합니다. 소프트웨어 대체로 인해 이 공간은 40비트, 즉 약 40억 개의 가능한 값으로 줄어들었습니다 . 충분한 정보를 가진 결의에 찬 공격자에게 이 키 공간은 원격으로 열거하기에 충분히 작았습니다.

공격자들은 장치 일련 번호, 클록 판독값 및 기타 공개적으로 관찰 가능한 데이터를 제한된 키 공간과 결합하여 지갑 시드 구문을 재구성할 수 있었습니다 . 그런 다음 자신의 컴퓨터에서 후보 시드를 생성하고, 주소를 파생시킨 다음 비트코인 블록체인에서 해당 주소를 확인하여 잔액이 있는 지갑을 찾았습니다. 전체 공격은 피해자의 장치에 물리적으로 접근할 필요가 없었습니다 .

공격 물결 타임라인

익스플로잇은 여러 물결에 걸쳐 전개되었으며, 가장 공격적인 행동은 첫 몇 시간 동안 발생했습니다.

• 1차 공격 (7월 30일, 약 10분): 주요 공격자는 가장 큰 지갑을 우선 순위로 삼아 약 3천만 달러의 비트코인을 탈취했습니다 .
• 1차 공격 연장 (25분): 25분 이내에 약 500개의 지갑에서 3,800만 달러 이상이 인출되었습니다 .
• 1차 공격 전체 (41분): 갤럭시 리서치(Galaxy Research)는 첫 번째 공격을 41분 만에 1,196개 주소에서 1,082.65 BTC(당시 약 7,020만 달러)가 인출된 것으로 파악했습니다 .
• 후속 공격: 8월 초까지 갤럭시는 3개의 주요 공격 물결과 14개의 소규모 사건을 확인했으며, 최소 12명의 서로 다른 해커가 콜드카드 사용자를 적극적으로 표적으로 삼고 있었습니다 . 총 피해 주소는 5,200개를 넘어섰으며, 일부 추정치는 7,300개에 달했습니다 .

8월 4일 기준으로 갤럭시 리서치는 1,596 BTC가 도난당했다는 데 높은 확신을 가지고 있었으며, 확인되지 않은 손실은 추가로 3천만 달러에 달했습니다 . 총 피해액은 약 1억 3천만 달러로 정리되었습니다 .

온체인 여파: 콜드카드 이탈 러시

해킹은 즉각적인 자금 이탈을 촉발했습니다. 비트코인은 8월 첫째 주에 227만 개의 새 지갑과 75만 1천 개의 활성 지갑을 기록했는데, 이는 몇 달 만에 가장 강력한 온체인 활동으로, 보유자들이 콜드카드에서 자금을 옮기기 위해 경쟁했기 때문입니다 .

결정적으로, 펌웨어를 업데이트해도 영향을 받은 시드를 고칠 수 없었습니다. 유일한 해결책은 패치된 펌웨어에서 새 시드를 생성하고 신중하게 자금을 이전하는 것이었습니다 . 이는 취약한 펌웨어 버전(4.0.1~5.0.3, Mk2 및 Mk3 모델)에서 생성된 시드를 가진 모든 지갑은 사용자가 수동으로 코인을 옮길 때까지 영구적으로 위험에 노출되어 있음을 의미했습니다 .

ETF 유입 급증: 일주일 만에 8억 5,350만 달러

2026년 8월 첫째 주, 미국 비트코인 현물 ETF는 8억 5,350만 달러의 순유입을 기록했습니다. 이는 2026년 4월 이후 최고의 주간 실적이었습니다 . 유입은 광범위했지만 상위 펀드에 집중되었습니다.

• 일별 유입액: 월요일 1억 7천만 달러, 화요일 2억 1,150만 달러, 수요일 2억 4,440만 달러, 목요일 1억 2,870만 달러, 금요일 9,890만 달러 .
• 선두: 블랙록의 아이셰어즈 비트코인 트러스트(IBIT)가 주간 총액의 약 6억 9,300만 달러(전체 유입액의 약 81%)를 차지했습니다 .
• 피델리티의 FBTC가 1억 1,650만 달러로 2위를 차지했습니다 .

ETF 급증은 7월 초까지 8주 연속 유출(82억 6천만 달러)이 이어진 후에 발생했습니다 . 반전은 급격하고 갑작스러웠으며, 콜드카드 해킹과 시기가 일치하면서 즉각적인 추측을 불러일으켰습니다.

논쟁: 해킹 vs. 거시경제 — 무엇이 자금 흐름을 주도했나?

시기가 매우 인상적이었습니다. 콜드카드 공격은 7월 30~31일에 알려졌습니다. ETF 유입 행진은 8월 3일 월요일에 시작되었습니다. 하지만 같은 주 금요일(8월 7일)에 미국 노동통계국은 충격적으로 약한 7월 고용 보고서를 발표했습니다. 두 사건 모두 ETF 매수를 촉발할 수 있었으며, 분석가들은 어느 것이 주요 원인이었는지에 대해 여전히 의견이 분분합니다.

해킹이 원인이라는 주장

• 직접적인 시기: ETF 유입은 콜드카드 익스플로잇이 널리 알려진 지 며칠 만에 시작되었습니다 .
• 보관 신뢰 위기: 이 해킹은 자기 보관에 대한 신뢰를 직접적으로 훼손했습니다. 오래된 암호화폐 격언인 "네 키가 아니라면 네 코인도 아니다"가 역전되어, 이 경우 자신의 키를 보유하는 것이 손실로 이어졌습니다. 블룸버그 분석가는 이 사건이 일부 투자자들이 자기 보관을 재고하고 ETF 제공자와 같은 규제 대상 수탁자로 전환하고 있는지에 대한 논쟁을 "불붙였다"고 언급했습니다 .
• 이동의 온체인 증거: 새 지갑 생성 급증과 콜드카드에서 자금 이탈은 "보관소로의 도피"와 일치했습니다 .

거시경제가 원인이라는 주장

• 7월 고용 쇼크: 미국 비농업 고용 보고서는 합의 예상치인 8만 건 증가를 크게 밑돌며 2만 3천 건 감소를 기록했습니다. 이전 달은 추가로 10만 3천 건 하향 조정되었습니다 .
• 연준 금리 경로 재조정: 9월 연준 금리 인상 가능성은 55%에서 20%로 급락했습니다 . 시장은 즉각 정책 동결 가능성을 반영했으며, 이는 비트코인을 포함한 위험 자산에 강력한 상승 촉매제입니다.
• 비트코인 가격 반응: 비트코인은 고용 지표 실패 소식에 65,000달러를 넘어 상승했습니다 .
• 이전의 거시경제 민감도: 8주 연속 ETF 유출 행진은 이미 7월 초, 약한 6월 고용 보고서(5만 7천 개 일자리, 예상치 크게 하회)가 2억 2,170만 달러의 유입을 촉발하면서 반전되었습니다 . 이는 콜드카드 익스플로잇 이전에 ETF 흐름이 이미 거시경제 상황에 다시 민감해졌음을 시사합니다.

증거가 가리키는 방향

주요 매체에 걸쳐 조사된 대부분의 분석가는 ETF 급증이 같은 방향으로 작용하는 두 가지 힘에 의해 주도되었을 가능성이 높다고 결론지었습니다 . 해킹은 미시적 수준의 "보관소로의 도피" 동기, 즉 자기 보관 사용자들이 보안 설정을 재고하게 만든 구체적인 이유를 제공했습니다. 약한 고용 보고서는 거시적 수준의 "위험 선호" 촉매제, 즉 기관 자본을 비트코인을 포함한 모든 위험 자산으로 유입시키는 광범위한 통화 정책 변화를 제공했습니다.

한 블룸버그 분석가가 말했듯이, 해킹과 ETF 유입 사이의 인과 관계는 "불분명"하지만, 그 우연의 일치가 "논쟁을 불붙였다"고 할 수 있습니다 . MSN Money 분석은 해킹이 거시경제적 요인에 의해 주도되었을 수 있는 변화에 "편리한 내러티브"를 제공했지만, 비트코인 ETF 초기 이후 처음으로 보관 논쟁이 "최전선"에 놓이게 되었다고 지적했습니다 .

분명한 것은: 8억 5,350만 달러 유입 주는 4월 이후 최고였으며, 두 가지 주요 사건—한 세대에 한 번 있을 법한 하드웨어 지갑 실패와 충격적인 고용 보고서—이 같은 기간에 수렴했다는 점입니다. 보관 문제와 거시경제 전망 모두 그 주 이전보다 더 불확실해졌습니다. 깔끔한 답변 대신 이러한 불확실성이 진정한 교훈입니다.