Coldcard 펌웨어 결함으로 해커들, 41분 만에 비트코인 7천만 달러 빼내… 피해액 8,800만 달러 넘어

갤럭시 리서치는 Coldcard 하드웨어 월렛의 펌웨어 결함이 2021년부터 존재해 왔으며, 이로 인해 7월 30일 기준 1,196개 주소에서 약 7,020만 달러 상당의 비트코인이 유출됐다고 밝혔다.

이후 추가 파동까지 포함하면 피해 규모는 4,585개 주소에서 1,367.05 BTC, 약 8,860만 달러로 늘어났다.

문제는 하드웨어 난수가 실패했을 때 지갑이 안전한 난수 생성 대신 예측 가능한 소프트웨어 기반 시드 생성으로 되돌아간 점이다.

공격자는 물리적 접근, 악성코드, 피싱 없이도 기기 관련 파라미터만으로 시드 문구를 추정해 자금을 탈취할 수 있었다.

이번 사건은 지갑 펌웨어의 엔트로피 취약점이 수천 명의 사용자를 동시에 위험에 빠뜨릴 수 있음을 보여준다.