안전지대 콜드월렛도 뚫렸다…시드 취약점 노려 비트코인 1367개 탈취

자금 여러 주소로 쪼개 이동…추적 회피 노려

개인키를 인터넷과 분리해 보관하는 콜드월렛에서 대규모 비트코인 탈취 사건이 발생했다. 주목할 점은 콜드월렛 자체를 해킹한 것이 아니라 지갑의 원본 키인 '시드(seed)'를 재현해 자산을 탈취했다는 점이다.

2일(현지시간) 갤럭시리서치에 따르면, 지난달 30일부터 이번달 2일까지 세 차례에 걸친 공격으로 총 4585개의 콜드카드 지갑 주소에서 비트코인 1367개가 탈취됐다. 피해 규모는 약 8900만 달러에 달한다.

콜드카드는 캐나다 보안기업 코인카이트가 개발한 비트코인 전용 하드웨어 콜드월렛이다.

가상자산 월렛 (사진=챗GPT 생성)

이번 공격의 원인은 지난 2021년 3월 배포된 콜드카드 펌웨어에 있다. 해당 버전은 지갑 원본 키인 시드를 생성할 때 하드웨어 난수 생성기 대신 상대적으로 결과 예측이 가능한 소프트웨어 난수 생성기를 사용했다.

갤럭시리서치는 이로 인해 공격자가 생성할 수 있는 개인키 범위가 좁아졌다고 분석했다. 따라서 공격자는 시드와 개인키를 오프라인에서 재현한 뒤 공개된 비트코인 블록체인에서 일치하는 주소를 찾아 자산을 탈취한 것으로 보인다.

공격 방식도 점차 진화했다. 1·2차 공격에서는 탈취한 자산을 하나의 지갑 주소로 모아 추적이 비교적 쉬웠지만, 3차 공격부터는 피해자별 다른 주소로 분산 전송해 자금 흐름을 추적하기 어렵게 만들었다.

현재도 공격이 이어지고 있다. 갤럭시리서치는 “취약한 시드로 생성된 지갑을 계속 탐색하고 있으며, 고액 지갑은 대부분 이미 공격 대상이 된 것으로 보인다”고 밝혔다.

업계에서는 이번 공격 방식이 기존 가상자산 해킹과 다르다는 점에 주목하고 있다. 일반적인 해킹은 거래소 침해, 스마트컨트랙트 취약점 악용, 피싱 등을 통해 개인키를 탈취하는 방식이 대부분이다.

반면 이번 공격은 개인키를 생성하는 시드를 재현해 자산을 탈취했다는 점에서 업계에 충격을 주고 있다.