코인카이트, 3,800만 달러 상당의 비트코인 손실 보고에 따라 콜드카드 Mk3 소유자들에게 경고

하드웨어 지갑 관련 사고는 드물게 단독 사건으로 발생합니다. 오랫동안 비활성 상태였던 주소들이 치밀하게 조율된 패턴으로 움직이기 시작하면, 그 시점만으로도 면밀한 조사가 필요합니다. 2026년 7월 30일, 약 3,800만 달러 상당의 594 BTC가 약 25분 만에 약 500개의 단일 서명 주소에서 이동한 사건이 바로 그러한 사례였습니다.

이 지갑들 중 상당수는 수년 동안 비활성 상태였으며, 잔액은 대개 0.15~0.26 BTC 사이였습니다. 이 글을 작성하는 시점에서 온라인상에서 광범위한 논의가 이루어지고 있음에도 불구하고, 해당 회사는 약 600 BTC에 달하는 이체가 Coldcard 보안 권고와 직접적인 관련이 있는지 여부를 아직 확인하지 않았습니다.

코인카이트의 입장

업계에서 NVK로 알려진 코인카이트(Coinkite)의 CEO 로돌포 노박(Rodolfo Novak)은 회사가 해당 보고서를 시급한 사안으로 다루고 있다고 밝혔다. 노박은 X를 통해 “전 직원이 총동원되어 모든 사항을 심층적으로 조사 중이며, 곧 기술 관련 게시물을 올릴 예정”이라고 말했다. 그는 또한 해당 보고서가 나온 후 회사의 소통 채널이 문의로 “폭주”했다고 덧붙였다. 별도의 업데이트에서 노박 CEO는 “COLDCARD 관련 보고서에 대해 광범위한 조사를 마쳤으며, 곧 블로그 게시물을 올릴 예정입니다”라고 강조했다.

회사의 보안 권고 블로그 게시물에는 영향을 받은 기기의 구체적인 범위가 명시되어 있습니다. 2021년 3월에 출시된 펌웨어 버전 4.0.1부터 Mk3를 지원하는 최종 버전인 5.0.3까지를 실행하는 Mk3에서 시드를 생성한 사용자는 누구나 영향을 받을 수 있습니다. 코인카이트는 초기 분석 결과 Mk4, Q 및 Mk5 모델은 영향을 받지 않는 것으로 나타났다고 설명했다. 코인카이트는 이번 권고문이 초기 조사 결과를 반영한 것이라며, 조사가 진행됨에 따라 공식적인 기술 검토가 뒤따를 것이라고 밝혔다. 커뮤니티 연구원들은 해당 보고서와 관련된 온체인 활동을 검토해 왔습니다. 논의는 공급망 침해보다는 특정 구형 Mk2 및 Mk3 펌웨어 버전에서 시드 생성 시 무작위성이 취약할 가능성에 초점을 맞추고 있습니다. 이 기사가 작성된 시점에서 Coinkite는 근본 원인을 확인하지 못했습니다.

패스프레이즈 사용자는 위험이 더 낮음

이 권고문에 따르면, 기기 PIN과는 별개로 사용자가 직접 설정한 BIP-39 패스프레이즈로 보호된 지갑은 코인카이트의 초기 분석 결과 위험이 최소한인 것으로 보입니다. 회사는 패스프레이즈 사용자에게 해당 문구를 계속 안전하게 보관하고, 신뢰할 수 없는 기기나 웹사이트에 입력하지 말 것을 권고했습니다.

패스프레이즈를 사용하지 않은 Mk3 소유자의 경우, Coinkite는 영향을 받지 않은 기기에서 생성된 새로운 시드로 마이그레이션할 것을 권장했습니다. 회사는 이 과정을 서두르지 말아야 한다고 밝혔다. 먼저 소액의 테스트 거래를 보내고, 기기 화면에서 새로운 지갑과 수신 주소를 확인한 뒤, 마이그레이션이 완료될 때까지 기존 백업을 보관할 것을 권고했다.

임시 조치

Coinkite는 Mk3가 유일한 기기인 소유자를 위해 두 가지 임시 조치를 제시했습니다:

• 강력하고 고유한 BIP-39 패스프레이즈를 추가하고 자금을 새로 보호된 지갑으로 이동합니다.
• Mk3의 주사위 굴리기(dice-roll) 가져오기 경로를 사용하여 대체 시드를 생성합니다. 이 방법은 기기의 난수 생성기에 의존하지 않지만, 코인카이트는 이를 신중한 검증이 필요한 고급 절차라고 설명했습니다.

Coinkite는 자사 블로그에 게시된 권고문을 통해 전체 기술적 절차를 공개했습니다. 회사는 현재 조사가 진행 중이며, 추후 추가 세부 정보를 제공할 것이라고 밝혔습니다. Coldcard는 출시 이후 보안에 중점을 둔 에어갭(air-gapped) 하드웨어 지갑으로 명성을 쌓아왔으며, 이번 보고서는 소유자들이 자신의 기기를 점검함에 따라 비트코인 커뮤니티 전반에 걸쳐 큰 주목을 받고 있습니다.