안전하다던 ‘콜드월렛’서 비트코인 최대 1.3억달러 탈취돼

펌웨어 결함이 화근 가상자산 보관수단 가운데 가장 안전하다고 여겨져온 오프라인 하드웨어 지갑에서 1억달러가 넘는 비트코인이 탈취됐다. 인터넷 차단만으로는 안전을 보장할 수 없고, 개인키를 만드는 난수 생성 과정과 펌웨어까지 검증해야 한다는 지적이 나온다. 5일 블룸버그와 테크크런치 등에 따르면 캐나다 코인카이트가 만든 비트코인 전용 하드웨어 지갑 '콜드카드'(사진)의 취약한 펌웨어로 생성된 지갑을 노린 공격이 이어지고 있다. 블록체인 분석업체 갤럭시리서치는 지난 3일(현지시간) 세 차례 대규모 공격과 14건의 소규모 사고를 통해 약 7300개 주소에서 비트코인 1596개가 도난당한 것으로 파악했다. 피해액은 1억달러를 웃돈다. 갤럭시리서치는 피해자 확인이 끝나지 않은 네 번째 공격까지 포함하면 탈취 규모가 비트코인 2055개, 약 1억3000만달러로 늘어날 수 있다고 봤다. 다만, 이는 블록체인 거래 흐름에 따른 추정치다. 도난 비트코인의 약 90%는 아직 이동하지 않았고, 관련 주소 정보는 미국 연방 수사기관과 가상자산 거래소 등에 전달됐다. 첫 대규모 공격은 지난달 30일 41분 만에 1196개 주소에서 비트코인 1082개를 빼간 것으로 분석됐다. 해커가 기기나 인터넷망에 침입한 것이 아니라, 펌웨어 결함 때문에 예측 가능한 방식으로 만들어진 시드를 역산해 자산을 옮긴 것으로 보인다. 미국 핀테크 기업 블록의 비트코인 엔지니어링·보안팀에 따르면 2021년 3월 펌웨어 변경 과정에서 하드웨어 난수발생기 대신 마이크로파이선의 결정론적 의사난수 생성기가 시드 생성에 사용됐다. 기기 식별값과 내부 타이머 상태 등을 좁히면 공격자가 후보 시드를 오프라인에서 대량 생성해 공개된 비트코인 주소와 대조할 수 있었다는 설명이다. 코인카이트는 지난달 30일 보안 경고를 낸 뒤 영향받은 전 기종에 수정 펌웨어를 배포했다. 그러나 업데이트만으로 기존 시드가 안전해지지는 않는다며, 새 시드를 만든 뒤 자산을 옮기라고 권고했다. 한황제 한국디지털에셋(KODA) 소프트웨어 엔지니어는 "오프라인 보관과 안전한 보관은 같은 의미가 아니다"며 "개인키가 어떤 장비에서 어떻게 생성됐는지, 충분한 품질의 난수가 사용됐는지와 소프트웨어·운영 절차까지 함께 살펴야 한다"고 말했다. 팽동현 기자 dhp@dt.co.kr