가상자산 보관의 ‘최후의 보루’로 꼽히던 콜드월렛이 뚫렸다. 블룸버그 통신에 따르면 캐나다 보안기기 업체 코인카이트의 하드웨어 지갑 ‘콜드카드’에서 생성된 지갑 약 5000개에서 비트코인 1755개, 약 1억1000만 달러(약 1570억원)어치가 빠져나갔다. 이후 피해액이 1억1600만 달러까지 불어났다는 집계도 나왔다.
콜드월렛은 인터넷과 분리된 별도 기기에 개인키를 보관하는 방식이다. 온라인 해킹 위험이 낮아 거래소나 인터넷 지갑보다 안전하다고 평가받아 왔던 만큼, 이번 사태의 충격은 더 크다.
일련번호가 열쇠였다
이번 해킹은 기기가 지갑 접근용 ‘시드 문구’를 만드는 과정의 소프트웨어 결함에서 비롯됐다. 시드 문구는 여러 단어로 이뤄진 문자열로, 이것만 확보하면 지갑에 접근해 자산을 옮길 수 있다.
미국 핀테크 기업 블록의 분석에 따르면 콜드카드는 난수 생성 장치가 제대로 작동하지 않을 경우 무작위 값 대신 기기 일련번호처럼 예측하기 쉬운 값을 사용했다. 해커들은 이 패턴을 역이용해 시드 문구를 추정하고 개인키를 알아내 지갑을 잇달아 털어간 것으로 분석된다. 문제의 결함은 2021년 펌웨어 업데이트 때 심어진 것으로 파악됐다.
주말 새 3배로 불어난 피해
피해는 눈덩이처럼 커졌다. 지난달 31일 약 3800만 달러로 추산되던 탈취액은 주말을 거치며 세 배 가까이 늘었다. 한 피해자는 블룸버그 인터뷰에서 콜드월렛 3개에 있던 자산이 모두 빠져나가 160만 달러(약 23억원)를 잃었다고 털어놨다.
코인카이트는 일부 기기의 침해를 확인하고 새 소프트웨어를 배포했지만, 여전히 일부 자산이 위험에 노출돼 있다며 추가 피해 가능성을 경고했다. 바이낸스 공동창업자 창펑 자오도 업데이트만으로는 이미 만들어진 지갑의 취약점이 해소되지 않는다며 새 시드를 만들어 자산을 옮기라고 촉구했다.
‘셀프 보관’ 신화의 균열
업계에서는 이번 사태가 콜드월렛이라도 개인키 생성·보호 절차가 부실하면 안전하지 않다는 점을 보여준다고 지적한다. 실제 올해 상반기 가상자산 해킹 피해액은 약 9억7200만 달러로 지난해 같은 기간보다 줄었지만, 발생 건수는 207건으로 반기 기준 역대 최다를 기록한 것으로 전해졌다.
다만 이번 사건이 하드웨어 지갑 전반의 결함을 뜻하는 것은 아니라는 시각도 있다. 문제는 특정 제품의 특정 시기 펌웨어에서 비롯된 만큼, 이용자로서는 지갑 생성 시점의 소프트웨어 버전을 확인하고 필요하면 자산을 이전하는 것이 우선이라는 조언이 나온다.
