Coldcard 펌웨어 취약점: RNG 시드 결함이 약 1억 1200만 BTC 도난을 유발

Coldcard 펌웨어 취약점이 심화되면서 셀프 커스터디에 대한 우려가 커졌습니다. 조사관들이 공격을 시드-프레이즈 RNG(난수 생성) 결함과 연결했기 때문입니다. 이후 보고서에 따르면 2026년 7월 30일에 첫 번째 공격이 시작되었고, 41분 만에 1,000+ 주소에서 약 1,083 BTC가 빠져나간 뒤 추가 도난 파동이 이어졌다고 합니다. 이것은 비트코인 블록체인의 붕괴가 아니었습니다. 대신 Coldcard 펌웨어 취약점은 mnemonic 시드 프레이즈를 만들기 위해 사용되는 난수 생성과 관련이 있습니다. 시드 생성이 예측 가능해지면 공격자는 가능한 시드 후보를 좁혀, 잠재적으로 개인키를 도출하고 영향을 받은 지갑을 비울 수 있습니다. 보고에 따르면 손실은 8월 중순까지 계속 증가했으며, 총 도난 금액은 약 1억 1,200만 달러(수억 달러 규모)로 인용되었고, 수천 개 주소에 걸쳐 발생했습니다. 근본 원인은 2021년에 출시된 Coinkite 펌웨어 업데이트로 추적되며, 이전 보고서에서는 엔트로피 회귀(entropy regression)가 언급된 바 있습니다. 중요하게도, 펌웨어 업그레이드가 이전에 생성된 시드로 확보된 자금을 반드시 보호해주지는 못할 수 있습니다. Coinkite의 가이드는 펌웨어 4.2.0+로 업데이트하고 시드 프레이즈를 다시 생성할 것을 강조하며, 사용자는 자금을 옮겨야 할 수도 있다고 합니다. 또한 회사는 추가 보안 계층으로 더 강력한 BIP-39 패스프레이즈 사용을 권장했고, 취약한 재고가 남아 있던 부분을 파기하기 시작했다고 밝혔습니다. 트레이더 입장에서는 시장에서의 핵심이 리스크 관리입니다. 주소 단위 보유를 노리는 사건은 투자 심리를 빠르게 바꿀 수 있습니다. 운영 위생(operational hygiene)에 대한 관심이 다시 커지고, 단일 기기 타깃 감염/탈취 위험을 줄이기 위해 멀티시그(multi-signature) 구성이 늘어날 수 있습니다.