AI 8분 만에 5년 된 취약점 발견, Coldcard 도난으로 콜드월렛 신뢰 위기

作者: Jae, PANews

비트코인 자가 수탁 사용자들이 대지진을 겪었다.

암호화폐 업계의 보안 담론에서 하드웨어 지갑은 항상 비트코인 보관의 궁극적 요새로 여겨져 왔다. 개인 키는 절대 네트워크에 접촉하지 않고, 물리적으로 공격 경로를 차단한다는 것이다. 하지만 오랜 역사를 가진 비트코인 하드웨어 지갑 콜드카드(Coldcard)에서 발생한 보안 위기는 이러한 신념에 거대한 균열을 냈다. 7월 30일, 시가 기준 1억 1천만 달러가 넘는 1,755.95 BTC가 수천 개 주소에서 조용히 일괄 비워졌다. 해커는 공식 경고가 발표되기 30시간 전에 이미 주요 자금을 빼돌렸다.

방어선은 외부에서 뚫린 것이 아니라, 내부 토대에 무려 5년 동안이나 숨겨져 있던 치명적 결함 때문에 무너졌다. 이로 인해 암호화폐 시장 전반에 연쇄 충격이 발생했고, 온체인 소액 비트코인 전송량이 FTX 붕괴 이후 최고치로 치솟았으며, 일부 자가 수탁 사용자들은 토큰을 대형 거래소나 비트코인 ETF로 옮기는 선택을 했다. 자가 수탁 시스템의 보안은 대중의 신뢰 위기에 빠졌다.

AI 8분 만에 5년 묵은 취약점 위치 파악, ‘코드 독약’이 콜드월렛의 ‘보안 신화’를 깨뜨리다

위기의 씨앗은 이르면 2021년 3월에 이미 심어져 있었다.

Coldcard가 배포한 v4.0.1 펌웨어 업데이트에서 개발팀은 중대한 실수를 저질렀다. 암호화 개인 키를 생성하는 과정에서 물리적 하드웨어에 의존한 진정한 난수 생성기(TRNG) 대신 소프트웨어 의사 난수 생성기(PRNG)를 잘못 호출한 것이다.

한 글자 차이지만 하늘과 땅 차이다. 암호학에서 엔트로피(Entropy)는 보안의 초석이다. 하드웨어 진정한 난수는 물리적 노이즈에 의존해 예측이 불가능하지만, 소프트웨어 의사 난수는 ‘엔트로피 풀’ 공간이 제한적이어서 기저 규칙을 추론할 수 있다. 바로 이 결함이 해커에게 대량의 개인 키를 뚫을 기회를 제공했다. 해커는 프로그래매틱 방식으로 영향받은 주소의 개인 키를 무차별 대입하고 재구성할 수 있었으며, 제품의 전체 보안 체인을 무너뜨렸다.

하나의 코드 논리 오류 때문에 5년 동안 특정 펌웨어를 사용해 생성된 모든 개인 키가 무차별 대입 공격 위험에 노출됐다. 이는 단일 하드웨어 기기가 공급망 리스크와 코드 논리 결함을 완전히 피할 수 없으며, ‘절대적 보안’이란 그 자체로 허구임을 의미한다.

온체인 흔적을 보면 해커의 약탈 행위는 고도로 자동화된 특징을 보인다.

Galaxy Research 집계에 따르면, 1·2차 공격에서 공격자는 단 41분 만에 피해 주소 1,196개를 비웠으며, Coldcard 측이 긴급 보안 경고를 발표하기 약 30시간 전에 이미 7천만 달러가 넘는 자금을 옮겼다. 대다수 사용자가 위험을 전혀 인지하지 못한 사이, 첫 번째 수확을 마친 셈이다.

이후 공격은 여러 차례 지속적인 약탈로 이어졌다. 최신 4차 공격 모니터링에서 해커는 블록당 최대 13.8건에 달하는 빈도로 피해 계좌를 집중적으로 비우고, 거래가 우선적으로 블록에 포함되도록 수수료 대체(RBF) 메커니즘까지 동원하여 사용자에게 복구할 틈을 주지 않았다.

더욱 안타까운 것은 피해자 프로필이다. 데이터에 따르면 도난당한 주소의 비트코인 평균 휴면 기간은 3.18년, 중간값은 3.55년에 달한다. 이들은 대부분 업계 초기부터 참여해 콜드 스토리지의 보안을 굳게 믿은 장기 보유자(HODLer)였다. 수년간 지켜온 신념이 결국 5년간 잠복해 있던 하부 코드 취약점 하나에 무너진 것이다.

이제 ‘AI의 무기화’는 해커의 공격 수단을 더욱 풍부하게 만들고 있다. AI를 이용해 개인 키를 대량으로 크랙하는 이번 사례는 자동화된 사이버 범죄의 진입 장벽이 한층 더 낮아졌음을 보여주며, 앞으로 오래된 코드베이스를 겨냥한 AI 공격이 일상적인 위협이 될 가능성을 시사한다.

공격 측의 AI 무기화와 동시에 방어 측에도 AI가 일으킨 효율성 혁명이 찾아왔다.

공격이 전면적으로 확산된 후, 레딧 커뮤니티 개발자들은 Claude Code를 이용해 Coldcard의 오픈소스 펌웨어 코드를 전면 스캔했고, 단 8분 만에 5년 동안 숨겨져 있던 의사 난수 논리 결함을 정확히 찾아냈다.

이어 커뮤니티는 오프라인 환경에서 Zhipu GLM 5.2와 오픈소스 모델 Kimi K3를 이용해 교차 검증을 진행했으며, 취약점 스캔 결과를 다시 한 번 재현하는 데 성공했다.

주목할 점은 Galaxy Research 보안팀도 중국의 오픈소스 AI를 활용해 해커의 4차 공격에 사용된 218건의 RBF 트랜잭션에 대한 복잡한 클러스터링 분석을 완료, 자금 이동의 ‘세컨드 홉(Second-Hop)’ 목적지 주소를 한 번에 특정했다는 것이다.

커뮤니티가 AI로 역추적을 시도한 사례는 AI 기반의 자동화된 코드 감사가 제로데이(Zero-Day) 취약점의 위험 노출 창을 크게 줄일 수 있음을 입증했다. 앞으로 하드웨어 제조사와 스마트 컨트랙트 개발 프로세스에 실시간 AI 감사를 도입하는 것은 선택이 아닌 필수가 될 것이다.

온체인 안전자산 이동 물결, FTX 붕괴 수준에 육박… 분산 보관이 주류 회피 방안 될 듯

Coldcard 취약점 사태가 계속 확산되면서 암호화폐 시장 전체의 자가 수탁 보안에 대한 믿음이 흔들렸고, 온체인에서 빠르게 대규모 리스크 회피 움직임이 촉발됐다.

CryptoQuant 모니터링에 따르면, 콜드카드 해킹 사건 이후 비트코인 일일 활성 주소 수는 7월 30일 64만5천 개에서 7월 31일 약 100만 개로 폭증해 2024년 12월 10일 이후 최고 수준을 기록했다. 당일 온체인에서 유통된 1 BTC 미만의 비트코인 전송 건수는 2022년 11월 이후 최고 수준으로, 약 39,600 BTC가 이동했다. 이는 FTX가 파산 신청을 한 직후 기록보다 불과 300 BTC 적은 수치다.

CryptoQuant 리서치 책임자 Julio Moreno는 FTX 붕괴 이후 비트코인 커뮤니티가 이처럼 격렬한 자구적 이동에 직면한 적은 없었다고 지적했다.

일단 ‘콜드월렛’이 더 이상 안전하지 않게 되면, 온체인에 방관자는 없다. 사용자들이 오프라인 하드웨어 지갑조차 더 이상 신뢰하지 않는다면, 암호화폐 보안 시스템은 근본적인 재구축을 겪게 됨을 의미한다.

바이낸스 창립자 CZ(자오창펑)는 코드가 인간에 의해 작성되는 한 취약점은 피할 수 없다고 목소리를 냈다. 수년 전 트러스트 월렛(Trust Wallet)도 의사 난수(PRNG) 취약점으로 1,200만 달러의 손실을 입은 바 있다. 단일 하드웨어나 오래된 휴면 지갑을 맹목적으로 믿지 말고, 분산 배치와 다중 서명(멀티시그)을 통해 단일 실패 지점의 리스크를 낮추는 것이 더 나은 해법이라고 강조했다.

블룸버그 수석 ETF 애널리스트 Eric Balchunas는 단 5명 규모의 회사가 이렇게 중요한 비트코인 보관 책임을 맡고 있다는 사실 자체가 분명한 위험 신호라고 지적했다. 이에 비해 사용자가 더 높은 거래 비용을 부담해야 하지만, 코인베이스(Coinbase)나 렛저(Ledger)처럼 더 큰 팀을 갖춘 기관이 보안 투자와 운영 역량 면에서 우위를 점한다. 비트코인 ETF는 투자자에게 대형 전문 규제 금융기관이 제공하는 보안과 더불어 낮은 관리 수수료까지 누릴 수 있는 또 다른 선택지를 제공한다.

비트코인 DAT(재무 기업) Strive의 부사장 Joe Burnett은 자가 수탁은 여전히 존재하겠지만, 콜드카드 도난 사건은 자가 수탁에 대한 사용자 신뢰를 영구적으로 바꿔놓을 것이라고 말했다. 단일 하드웨어 지갑이 생성한 하나의 키로 대량의 비트코인을 보호하는 것은 지나치게 높은 집중 리스크를 수반한다. 그는 비트코인 자체가 안전하게 유지되는 한, 특정 수탁 방식의 실패가 근본적인 화폐 시스템을 부정하는 것은 아니며, 오히려 시장이 더 나은 도구, 더 높은 표준, 더 탄력적인 수탁 아키텍처를 개발하도록 강제할 것이라고 봤다.

비트코인 L2 스택스(Stacks) 공동 창립자 무니브 알리(Muneeb Ali)는 “계란을 한 바구니에 담지 말라”고 강조하며 다음과 같은 분산 전략을 제안했다.

20%-30%의 BTC를 ETF, 예를 들어 블랙록(BlackRock)의 비트코인 ETF IBIT에 배분하여 전문 수탁 및 규제 보호를 확보한다.
40%-50%의 BTC를 Casa와 같은 다중 서명(멀티시그) 방식(예: 3키 모델)으로 보관하며, 키를 보안 회사, 모바일 기기, 하드웨어 지갑에 분산 보관한다.
20%-30%의 BTC를 더 높은 수준의 자율 관리 방안에 사용하고, 서로 다른 하드웨어 지갑과 엔트로피 소스를 결합한다.

그가 말한 대로, 사용자는 단일 하드웨어 지갑에 대한 맹목적 신뢰를 버리고, 여러 제조사에 걸친 다중 서명, 임계 서명(MPC), 스마트 컨트랙트 기반 소셜 복구 지갑, 나아가 ETF 같은 방안으로 전환해 단일 장애 지점으로 인한 전면적 붕괴 리스크를 아키텍처 차원에서 제거해야 한다.

분명히 콜드카드 사건은 암호화폐 보안 역사에서 하나의 상징적인 분기점으로 기록될 것이다. ‘콜드 스토리지는 절대적으로 안전하다’는 착각은 현실의 코드 결함에 의해 산산조각났다.

진정한 보안은 단일 지점의 철벽이 아니라 시스템의 중복성과 회복 탄력성에 있다. 1,755 BTC라는 수업료는 비록 비쌌지만, 업계가 ‘오프라인이 곧 안전’, ‘하드웨어가 곧 안전’이라는 사고방식을 버릴 때에만 암호화 자산의 보안 체계는 지속적인 공방전 속에서도 장기적으로 튼튼하게 발전할 수 있을 것이다.