하드웨어 지갑의 취약한 난수 생성 결함으로 인해 Coldcard 사용자들이 1,596 비트코인(현재 가격 기준 약 1억 3천만 달러)을 잃었습니다. 이는 3차례의 확인된 공격과 14건의 소규모 사건으로 확인되었으며, 수천 개의 주소가 손상되었습니다. 그러나 한국의 비트코인 사용자들, 특히 이 장치를 초기에 채택한 많은 사람들은 사실상 직접적인 손실을 입지 않았습니다. 이러한 차이는 서로 다른 커뮤니티가 '신뢰하지 말고 검증하라'는 원칙을 대하는 문화적 차이를 부각시킵니다.
버그의 작동 방식
이 취약점은 특정 장치의 Coldcard 내부 난수 생성기에서 발생했습니다. 공격자들은 약한 엔트로피를 이용해 개인 키를 유도했고, 최소 3차례의 공격을 통해 자금을 탈취했습니다. 잠재적인 4차 공격은 아직 확인되지 않았지만 주시되고 있습니다. Coldcard는 취약한 재고를 폐기하고 모든 사용자에게 즉시 새 시드를 생성할 것을 권고했습니다.
한국 사용자들이 버그를 피한 이유
한국 커뮤니티 지도자들은 오랫동안 시드 문구와 엔트로피를 독립적으로 생성할 것을 권장해 왔습니다. 즉, 공급업체의 내부 난수에 의존하는 대신 물리적 주사위나 동전 던지기를 사용하는 방식입니다. 그들이 권장한 방법은 12개 또는 24개 단어 시드를 위해 동전을 128번 또는 256번 던지고, 하드웨어 계산기(휴대폰이 아닌)로 이진수를 십진수로 변환한 후, 인쇄된 BIP39 단어 목록을 대조하고, 체크섬 계산에만 SeedSigner와 같은 에어갭 도구를 사용하는 것입니다. 이 관행은 한국의 비트코인 문화에 깊이 자리 잡고 있어 Coldcard의 RNG 결함은 한국 사용자에게 사실상 무의미했습니다.
분석가 Koji Higashi는 이러한 회복력이 개인의 기술보다는 커뮤니티의 자체 보관 관행의 구조적 강점에 기인한다고 말했습니다. "한국 사용자가 더 똑똑한 것이 아닙니다. 커뮤니티가 하드웨어가 손상될 수 있다고 가정하는 시스템을 구축한 것입니다."
영어권 커뮤니티의 피해가 더 큼
영어권 사용자들은 더 큰 피해를 입었는데, 그 이유 중 하나는 많은 사람들이 설정 조언을 인플루언서에게 의존했기 때문입니다. 일부 인플루언서는 Coldcard 제조사인 Coinkite와 후원 관계나 연관이 있었습니다. 사후 분석에 따르면 핵심 교훈은 비트코인의 '신뢰하지 말고 검증하라'는 원칙이 코드뿐만 아니라 정보 출처에도 적용되어야 한다는 것입니다. 독립적인 검증 없이 단일 인플루언서나 공급업체의 권장 사항을 신뢰하는 것은 비용이 많이 들었습니다.
향후 전망
Coldcard는 취약한 재고를 폐기했지만, 4차 공격 피해자가 존재하는지 여부는 여전히 미궁에 남아 있습니다. 현재로서는 이 사건이 자체 보관이 단순히 자신의 키를 보유하는 것만이 아니라, 처음에 키를 어떻게 생성하는지에 관한 것임을 상기시키는 사례로 남아 있습니다.
