비트코인 셀프 커스터디는 끝났는가? Coldcard 해킹의 내막

7월 30일, 공격자들은 침해된 “콜드 스토리지” 지갑에서 생성된 시드와 연결된 주소로부터 비트코인을 빼내기 시작했습니다. Coldcard라고 불리는 이 기기는 Coinkite에서 제조되었으며, 사이버 보안에 대해 극도로 예민한 사람들에게 최고의 선택으로 널리 간주되어 왔습니다. 다른 기기가 아닌 바로 Coldcard가 이번 해킹의 희생양이 되었다는 사실은 비트코인 세계의 근간을 뒤흔들었습니다.

Galaxy Research는 단 몇 시간 만에 4,385개의 주소에서 약 1억 3,000만 달러 상당의 비트코인 약 2,000개를 훔친 최소 15명의 서로 다른 공격자들을 추적했습니다. 이번 공격의 속도와 규모는 비트코인 역사상 최악의 재난에 해당합니다.

이러한 대참사 이후에 제기되는 명백한 질문은 셀프 커스터디 자체가 실패했는지 여부입니다. 셀프 커스터디는 기관의 부패와 상대처 리스크로부터 보호해주기 때문에 비트코인 애호가들에 의해 장려됩니다. 하지만 이 강력한 권한에는 막중한 책임이 따릅니다. 즉, 셀프 커스터디를 위해 사용하는 하드웨어와 소프트웨어가 그 자체로 침해되지 않았음을 100% 확신해야 한다는 것입니다.

금융 주권은 여전히 추구할 가치가 있는데, 수탁 리스크가 매우 실재하기 때문입니다. 그러나 비트코인 커뮤니티는 이제 자신의 비트코인이 스스로의 보관 하에 안전하다는 것을 확신하기 위해 개인에게 훨씬 더 많은 기술적 능력이 필요하다는 사실을 받아들이고 있습니다. 이는 연령, 장소, 배경에 상관없이 누구나 자신의 디지털 자산에 대해 주권을 가질 수 있다는 개념에 반하는 생각입니다.

Coldcard 비트코인 해킹에서 실제로 일어난 일

Coldcard 기기는 “진 난수 생성기” 또는 TRNG라고 불리는 하드웨어 칩을 사용하여 지갑 시드를 생성하도록 설계되었습니다. 적절하게 사용될 경우, 이 난수는 본질적으로 비트코인을 “눈에 띄는 곳”에 숨기지만, 컴퓨터가 검색하기에는 너무나도 광대하여 이해할 수 없을 정도의 공간 안에 숨깁니다. 그 규모를 짐작해 보자면, 비트코인 시드를 추측하는 것은 수십억 개의 은하계에 달하는 물질 속에서 단 하나의 원자를 찾는 것과 같습니다.

그러나 Coldcard 펌웨어는 이 칩의 사용을 우회하고 있었고, 대신 무작위성이 훨씬 낮은 소프트웨어 함수를 사용하고 있었습니다. 이런 방식으로 생성된 시드는 거대한 바이러스 내부에서 단 하나의 원자를 찾는 것만큼이나 찾기 쉽습니다. 이는 현대의 컴퓨팅 클러스터가 몇 시간 내에 실행할 수 있는 작업입니다.