콜드월렛도 뚫렸다…전문가 "100% 안전없어, 추가 비번 설정해야"

보안 인증 여부 확인도 필요

개인키를 인터넷과 분리해 보관하는 콜드월렛에서 대규모 비트코인 탈취 사건이 발생하면서 보안 우려가 커지고 있다. 전문가들은 이번 사고 원인이 특정 제품의 난수 생성 방식에 있었던 만큼, 사용 중인 콜드월렛 보안 인증 여부를 확인하고 추가 비밀번호(패스프레이즈)를 설정해야 한다고 조언했다.

5일 갤럭시리서치 등 가상자산 업계에 따르면, 지난달 30일부터 이달 2일까지 콜드카드 지갑 주소 4585개에서 비트코인 1367개가 탈취됐다. 현재 4차 공격도 진행 중인 것으로 파악됐다.

콜드카드는 캐나다 보안기업 코인카이트가 개발한 비트코인 전용 하드웨어 콜드월렛이다. 코인카이트는 긴급 펌웨어를 배포하고, 문제가 된 펌웨어에서 생성한 시드를 사용한 이용자에게 새로운 시드로 만든 지갑으로 자산을 옮길 것을 권고했다.

비트코인 해킹 이미지 (사진=챗GPT)

난수 생성 방식이 화근

전문가들은 이번 사고의 핵심 원인으로 난수 생성 방식을 꼽았다. 난수는 지갑 복구 문구(니모닉 코드)를 생성하는 기반이 되는 값이다.

문제가 된 것은 2021년 3월 배포된 콜드카드 펌웨어다. 당시 지갑 시드를 생성하는 과정에서 보안칩의 하드웨어 난수 생성기 대신 소프트웨어 난수 생성기를 사용하도록 변경됐다.

유민호 아이오트러스트 최고보안책임자(CSO)는 “난수는 얼마나 예측이 불가능하게 생성되느냐가 가장 중요하다”며 “일반적으로는 보안 인증을 받은 보안칩에서 난수를 생성하며, 이런 하드웨어는 국가 기관 등의 인증을 거친다”고 설명했다.

이어 “소프트웨어 방식은 계산 알고리즘과 생성 시점을 알면 난수를 추정할 가능성이 있다”며 “난수는 예측이 불가능해야 하기 때문에 대부분의 콜드월렛은 하드웨어 기반 난수 생성 방식을 사용한다”고 말했다.

공격자는 코인카이트의 취약한 난수 생성 방식을 이용해 생성 가능한 난수 범위를 계산한 뒤 시드와 개인키를 오프라인에서 재현해 자산을 탈취한 것으로 분석된다.

다만 국내에서 판매되는 상당수 콜드월렛은 하드웨어 기반 난수 생성 방식을 채택하고 있다. 아이오트러스트의 디센트 역시 보안 인증을 받은 보안칩을 사용하고 있다. 또 국내에서 많이 쓰이는 렛저 콜드월렛 또한 같은 하드웨어 기반 난수 생성 방식이다. 

“콜드월렛, 100% 안전 없어…추가 비밀번호 설정해야”

전문가들은 문제가 된 콜드카드를 사용하는 이용자라면 즉시 새로운 지갑으로 자산을 옮겨야 한다고 강조했다.

유민호 CSO는 “콜드월렛 탈취는 마스터 비밀번호가 노출되는 경우와 금고 자체를 물리적으로 훼손하는 경우로 나눌 수 있다”며 “이번 사고는 마스터 비밀번호가 노출된 것과 같은 상황인 만큼 해당 지갑은 더 이상 사용하지 않는 것이 맞다”고 말했다.

아울러 추가 비밀번호(패스프레이즈) 설정도 권고했다.

그는 “사용자가 별도의 패스프레이즈를 설정하면 시드가 노출되더라도 동일한 지갑을 복원할 수 없어 자산 탈취 위험을 크게 줄일 수 있다”며 “콜드월렛을 무조건 안전하다고 믿기보다 추가 보안 설정까지 적용해야 한다"”고 당부했다.