Coldcard 펌웨어 결함: 100M+ BTC 절도 확인, 가능한 4번째 물결

Galaxy Research에 따르면 Coldcard 펌웨어 취약점을 악용한 절도 사건은 현재 1,596 BTC(약 1억 달러+) 규모로 확인됐습니다. 이는 대략 7,300개 주소에서 세 차례의 주요 공격 파동과 14건의 소규모 사건을 거쳐 탈취된 것으로, 총 73명의 피해자가 현재까지 Galaxy에 연락해 앞선 세 파동의 검증에 도움을 주었습니다. Galaxy가 ‘확정’ 합계에서 4번째 파동을 제외한 이유는 피해자들의 추가 보고가 아직 이뤄지지 않았기 때문이며, 의심되는 4번째 파동이 중간~높은 신뢰도로 가능하다고 보아 총 손실이 2,055 BTC(약 1억 3천만 달러)까지 늘어날 수 있다는 전망입니다. 온체인에서는 탈취된 비트코인의 약 90%가 아직 이동하지 않았고, 공격자/피해자 주소는 미국 연방 법 집행기관, 거래소, 사이버 수사기관에 공유됐으며 ‘스윕(sweeps)’ 작업이 진행 중이라고 합니다. Galaxy는 이번 사안을 2021년 3월의 Coldcard 펌웨어 빌드 오류와 연결합니다. 구성 설정 하나가 기기의 하드웨어 난수 생성기를 건너뛰게 했고, 그 결과 키 생성이 칩의 시리얼/타이머 데이터로 시드(seed)된 소프트웨어 대체값으로 되돌아갔다는 설명입니다. 수정 펌웨어는 7월 31일 배포됐지만, 취약한 설정으로 이미 생성된 시드는 복구할 수 없습니다. 트레이더 관점에서는 BTC의 즉각적인 시장 영향은 제한적일 가능성이 크지만, Coldcard 펌웨어 결함 관련 헤드라인은 self-custody에 대한 위험 심리를 일시적으로 흔들 수 있습니다. 장기적으로는 취약점이 드러난 뒤 Coldcard 펌웨어 업데이트를 미뤘던 사용자들을 중심으로 운영 보안(Operational Security)에 대한 관심이 더 커질 가능성이 있습니다.