올해 최대 비트코인 도난 사건 정리: 5년 전 취약점이 공격당했고, 유명 하드월렛도 AI의 표적이 되었다

BlockBeats 뉴스, 8월 3일, 최신 데이터에 따르면 하드웨어 지갑 Coldcard 해킹 사고에서 이미 1359개의 비트코인이 도난당했으며, 일부 사용자는 업데이트 설치 후 기기가 오류 페이지에 머물거나, 부팅이 불가능하거나, 기기가 벽돌이 된 것으로 의심되는 상황을 보고했다. 이 사건은 올해 비트코인 최대 도난 사건이 되었다. BlockBeats가 사건의 전개 과정을 정리하면 다음과 같다:

분석에 따르면, 이번에 공격받은 Coldcard 펌웨어 코드는 2021년 3월에 배포되었으며, 취약점은 오픈소스 코드에 약 5년 이상 존재해 왔다. Mk3(및 일부 Mk2), 그리고 이후 Mk4, Q, Mk5의 수정 전 시드 생성에 영향을 미쳤다.

2026년 7월 30일까지, 이 취약점을 대상으로 한 대규모 공격이 실행되었다. 공격자는 약 25~41분 동안 수백에서 수천 개의 주소에 자동화된 스위핑을 수행했다. 초기에는 약 500개의 단일 서명 지갑, 1324개의 UTXO, 약 594.5 BTC가 공격을 받았으며, 이후 온체인 분석이 약 1196개 주소, 1082.65 BTC(약 7020만 달러 가치)로 확대되었다. 또한, 이번 공격은 잔액이 큰 주소를 우선적으로 대상으로 했으며, 공격은 고정된 높은 수수료와 잔돈 출력 없이 진행되어 자금이 신속하게 소수의 주소로 집중되었다.

이후 Coldcard 개발사 Coinkite가 보안 공지를 발표하고, Mk3(펌웨어 4.0.1 및 이후 버전)의 시드 생성 문제를 잠정 확인했으며, 영향을 받은 사용자에게 신중한 마이그레이션을 권고했다. 또한 공격자가 AI를 활용해 오픈소스 코드를 검토하여 취약점을 발견했을 가능성이 있다고 추측했다.

8월 2일 기준, Galaxy 리서치 책임자 Alex Thorn은 Coldcard 지갑을 둘러싼 공격 사건이 여전히 진행 중이며, 현재 더 많은 소규모 공격자와 모방자가 등장하여 남은 Coldcard 니모닉을 대상으로 공격을 수행하고 있다고 밝혔다.

이 사건은 여러 측면에서 주목을 받고 있다. Bloomberg 수석 ETF 애널리스트 Eric Balchunas는 Coldcard 팀이 직원 5명뿐이라고 폭로했다. 이렇게 중요한 회사치고는 그 숫자가 너무 적다.

CZ는 이에 대해 다음과 같이 논평했다. 「셀프 커스터디 모델에서는 개발자가 취약점을 수정하더라도 이전에 생성된 지갑은 수정할 수 없다; 격리된 기기를 사용하는 사용자의 경우, 개발자가 직접 연락하여 경고할 수도 없다. 사용자가 스스로 조치를 취하기 전까지 관련 지갑은 계속해서 공격 위험에 노출될 수 있다. 나는 셀프 커스터디를 지지하지만, 이는 또한 보안 책임이 사용자 본인에게 있다는 것을 의미한다.」

또한, 이 사건이 AI가 암호화 장치를 공격하는 것과 관련될 수 있다. 기관급 보관 플랫폼 BitGo가 가장 먼저 조치를 취하며, 업계의 명성을 회복하고자 BitGo CEO Mike Belshe는 8월 1일 공개 비트코인 주소에 100 BTC를 입금하고, Anthropic의 Claude 모델을 초대해 해당 주소의 자금을 이체하도록 도전장을 내밀었다. 이 플랫폼은 다중 서명 또는 다자간 계산 기술을 채택하여 서명 권한을 여러 독립 키에 분산시킨다. Anthropic은 8월 2일까지 이 도전에 공개적으로 응답하지 않았다.

이 영향으로 비트코인은 31일부터 지속적으로 약세를 보이며, 6.5만 달러에서 6.3만 달러로 하락했다.