PANews 8월 3일 소식, 코인데스크(CoinDesk) 보도에 따르면 암호화폐 보안 사건이 계속 확산되고 있으며, 콜드카드(Coldcard) 하드웨어 지갑 관련 취약점 공격으로 4차 자금 이동이 발생한 것으로 의심되며, 누적 손실 규모가 약 1억 1,400만 달러에 달할 수 있다고 합니다.

갤럭시 리서치(Galaxy Research)의 책임자 알렉스 손(Alex Thorn)의 분석에 따르면, 콜드카드 지갑 주소를 겨냥한 비트코인 ‘쓸어 담기’(sweep) 공격이 새롭게 진행되고 있습니다. 이번 공격 거래에는 비트코인의 ‘대체 수수료’(Replace-by-Fee, RBF) 기능이 활성화되었는데, 이는 영향을 받은 사용자가 거래가 확인되기 전에 자신의 주소가 비트코인 메모리 풀(mempool)에 나타난 것을 발견한다면, 더 높은 수수료를 지불하여 공격자의 거래를 덮어쓰고 자금을 안전한 주소로 이동시킬 기회가 있음을 의미합니다.

이번 공격은 처음 7월 30일에 발생했으며, 1차 공격으로 41분 동안 1,196개 주소에서 약 1,083 BTC가 이체되었습니다. 이후 2차례의 추가 공격으로 확인된 손실은 약 1,367 BTC로 확대되었으며, 관련 주소는 4,585개에 달합니다. 4차 공격 통계가 맞다면, 7월 30일 이후 누적 약 1,816 BTC가 이체되었고, 현재 가격 기준 약 1억 1,400만 달러 상당이며, 관련 주소는 5,200개를 넘습니다.

연구원들은 이번 취약점이 콜드카드 2021년 3월 특정 버전의 펌웨어에서 비롯된 것으로 보고 있습니다. 해당 버전은 지갑 시드를 생성할 때 칩 하드웨어 난수 생성기가 아닌 예측 가능한 소프트웨어 난수 생성기를 잘못 사용하여 일부 개인 키가 오프라인에서 추정될 수 있었습니다. 콜드카드 제조사 코인키트(Coinkite)는 긴급 펌웨어 업데이트를 발표하고 영향을 받은 사용자에게 자산을 새로운 시드로 생성된 지갑으로 이동할 것을 권장했습니다.

알렉스 손은 현재 직접적인 피해자 보고는 받지 못했으며, 그의 판단은 주로 온체인 거래 패턴 분석에 기반하고 있지만, 일부 공격 거래가 아직 확인되지 않은 상태여서 사용자들에게 조치를 취하도록 미리 공개하기로 결정했다고 밝혔습니다. 보안 연구 결과, 이번 공격은 주로 단일 서명 지갑에 영향을 미치며, 다중 서명 지갑이 영향을 받은 사례는 아직 발견되지 않았습니다. 영향을 받은 사용자는 즉시 콜드카드 장치로 생성된 지갑 주소를 확인하고 남은 자산을 빠르게 이체해야 합니다.