가상자산 보안의 최후 보루로 여겨지던 '콜드월렛'마저 뚫리며 1억3천만달러(비트코인 약 2천개) 상당의 자산이 탈취되는 충격적인 사건이 발생했다.

2026년 8월 5일 현재, 캐나다 코인카이트사가 제조한 비트코인 하드웨어 지갑 '콜드카드'에서 펌웨어 결함을 악용한 대규모 해킹 공격이 확인됐다. 보안업체 블록은 콜드카드 시드(seed) 생성 방식의 난수 품질 부족을 취약점의 원인으로 지적했으며, 코인카이트는 해당 펌웨어로 시드가 생성되었음을 인정하고 조사에 착수했다. 이번 해킹에는 최소 15명 이상의 공격자가 활동한 것으로 분석된다.

블록체인 분석업체 갤럭시 리서치는 이번 사태를 둘러싼 세 차례의 해킹과 14건의 추가 의심 사례를 포함, 총 피해 규모를 1억3천만달러, 비트코인 약 2천개 상당으로 추정했다. 특히 한 건의 해킹으로만 1천596개 비트코인이 탈취된 것으로 파악됐다. 갤럭시 리서치의 알렉스 쏜 연구 책임자는 「콜드월렛의 물리적 보안이 소프트웨어 취약점 앞에서 무력화될 수 있다는 점이 명확히 드러났다」고 언급하며 우려를 표했다.

[사진=연합뉴스]

이번 사건은 가상자산 보안 패러다임의 근본적인 전환을 요구하고 있다. 한국디지털에셋 한황제 소프트웨어 엔지니어는 「'오프라인 보관'과 '안전한 보관'이 반드시 같은 의미는 아니라는 사실이 이번 해킹으로 증명됐다」며, 「콜드월렛이라는 물리적 형태만으로 안전성을 판단해서는 안 된다」고 경고했다. 이는 단순히 물리적 형태로만 보안성을 가늠하던 기존의 통념을 뒤흔드는 발언이다.

코인카이트는 이번 펌웨어 결함으로 인한 시드 생성 문제가 있음을 인정하고, 피해 복구 및 추가 방지 대책 마련에 총력을 기울이고 있다고 밝혔다. 코인카이트는 홈페이지를 통해 「이번 취약점은 코인카이트뿐 아니라 비트코인 하드웨어와 소프트웨어를 개발하는 모든 회사에 경고가 된다」고 명시하며, 업계 전반의 보안 강화 노력을 촉구했다.

콜드월렛 해킹은 가상자산 보안의 본질에 대한 재고를 요구한다. 단순히 '오프라인'이라는 물리적 형태를 넘어, 시드 생성 과정의 난수 품질, 펌웨어 및 운영 절차 등 다각적이고 근본적인 보안 점검과 혁신이 필요하다는 것이 전문가들의 한결같은 지적이다.