Coldcard 해킹: RNG 결함으로 $116M Bitcoin 도난

하드웨어 월렛은 Bitcoin을 보유하는 데 있어 지루하지만 신뢰할 수 있는 부분이어야 합니다. 연결하고, 시드를 생성하고, 시드를 오프라인으로 보관하며, 안심하고 잠자리에 드는 것 말입니다. 인기 있는 Coldcard 월렛의 제조사인 Coinkite가 2021년 3월로 거슬러 올라가는 펌웨어 버그로 인해 수천 개의 프라이빗 키를 추측 가능하게 만들었다는 사실을 확인하면서, 그 전제는 이번 여름에 직접적인 타격을 입었습니다. 공격자들은 2026년 7월 30일에서 8월 4일 사이 네 차례에 걸쳐 5,200개 이상의 주소에서 당시 가치로 약 $116 million에 해당하는 약 1,816 BTC를 탈취했습니다. 블록체인 분석 회사인 TRM Labs에 따르면, 9월 중순까지 이 사건은 기록상 가장 큰 규모의 하드웨어 월렛 익스플로잇으로 남아 있습니다.

Coldcard 해킹은 이미 수억 달러 규모의 암호화폐 손실로 가득 찬 해에 발생했지만, 일반적인 DeFi 브리지 익스플로잇이나 거래소 침해와는 구별됩니다. 누구도 비밀번호를 훔치지 않았습니다. 누구도 프라이빗 키를 피싱하지 않았습니다. 월렛은 구매자들이 들은 대로 정확히 작동했습니다. 네트워크와 분리된 전용 기기에서 오프라인으로 시드 구문을 생성한 것입니다. 단지 시드가 Coinkite가 주장한 것만큼 무작위적이지 않았을 뿐입니다. 이러한 차이 때문에 보안 연구원, 셀프 커스터디 옹호자, 그리고 현재 경쟁 월렛 제조사들은 이를 일반적인 해킹 헤드라인과는 다른 종류의 경고로 취급하고 있습니다.

사건 발생: $116 Million 규모의 Coldcard 절도 사건 내막

2026년 7월 30일, 온체인 분석가들이 약 500개의 휴면 월렛에서 한꺼번에 약 594 BTC(약 $38 million)가 빠져나가는 것을 발견하면서 문제의 징후가 처음 나타났습니다. Coindesk는 다음 날 이 사건을 보도하며, 공격자가 “사용자가 안전하게 셀프 커스터디 중이라고 믿었던 월렛의 복구 구문을 재현하고 Bitcoin을 훔칠 수 있게” 한 익스플로잇으로 규정했습니다(July 31 report 참고). Coinkite는 같은 날 Coldcard Mk3 소유자들에게 보안 권고를 발표하여 특정 펌웨어 버전과 연동된 자금이 위험에 처할 수 있다고 경고했습니다.

그것은 시작에 불과했습니다. 두 번째 공격으로 8월 1일까지 총 손실액은 약 1,082 BTC로 늘어났습니다. 블록체인 인텔리전스 회사인 Galaxy Research가 추적한 세 번째 공격에서는 8월 2일과 3일 사이에 4,585개 주소에서 약 1,367 BTC(약 $89 million)가 빠져나갔습니다. 월요일 아침에 감지된 네 번째 공격으로 확인된 총 손실액은 5,200개 이상의 주소에서 약 1,816 BTC(약 $116 million)에 달한다고 TRM Labs는 보고했습니다. 보안 작가 Boaz Sobrado는 Forbes에 이 사건을 기고하며 개별 피해 상황을 극명하게 보여주었습니다. 그의 August 4 account에 따르면, 한 피해자만 단일 Coldcard 생성 월렛에서 C$1.6 million 상당의 자산을 잃었습니다.