Trezor, 콜드카드 1억 달러 도난 사건 후 암호화폐 지갑 비밀번호 길이 대폭 확장
CoinTelegraph2026년 11월 2일 19:460
하드웨어 지갑 제조사 트레저(Trezor)가 최근 콜드카드(Coldcard) 지갑에서 발생한 1억 달러 규모의 도난 사건을 계기로, 사용자의 자산을 더욱 안전하게 보호하기 위해 지갑 비밀번호(passphrase)의 최대 길이를 기존 50자에서 128자로 대폭 늘렸다고 밝혔다. 이번 변경 사항은 최신 펌웨어 업데이트와 함께 트레저 스위트(Trezor Suite)를 통해 적용되었으며, 구형 펌웨어 사용자는 여전히 50자 제한을 따른다.
트레저에 따르면, 비밀번호는 지갑 복구 문구(recovery phrase)와 별도로 설정하는 추가적인 보안 계층 역할을 한다. 즉, 공격자가 복구 문구를 탈취하더라도 올바른 비밀번호를 알지 못하면 지갑 내 자산에 접근할 수 없다. 이러한 비밀번호 강화 조치는 지난 7월 발생했던 콜드카드 지갑 해킹 사건에서 얻은 교훈을 반영한 결과다. 당시 콜드카드 지갑의 펌웨어 결함으로 일부 기기에서 복구 문구가 충분한 무작위성을 갖지 못하게 생성되어, 공격자가 이를 재구성할 수 있다는 사실이 밝혀졌다. 트레저는 이러한 공격 상황에서도 강력하고 고유한 비밀번호를 사용했던 일부 사용자들은 자산을 보호할 수 있었다고 설명했다.
이번 비밀번호 길이 확장 업데이트는 트레저 자체 기기와 관련된 별도의 경고 이후에 나온 조치라는 점에서도 주목받고 있다. 지난 금요일, 트레저는 3월 이후 공인 판매업체였던 크립토빌리스(CryptoBilis)로부터 지갑을 구매한 고객들에게 자산을 새로운 지갑으로 옮길 것을 권고했다. 이는 인도네시아 고객이 트레저 세이프 5(Trezor Safe 5) 기기 내부에 복구 문자를 포함한 화면 정보를 가로채고 이를 셀룰룰러 네트워크를 통해 전송할 수 있는 잠재적인 장치가 내장되어 있었다고 보고하면서 시작된 우려였다. 트레저는 당시 해당 기기를 직접 검사하지 않았으며, 관련 피해 보고를 받지 않았다고 밝혔으나, 사용자들의 보안에 대한 경각심을 높이는 계기가 되었다.
하드웨어 지갑은 개인 키를 오프라인에 보관함으로써 암호화폐 자산의 보안을 강화하는 중요한 도구이다. 그러나 이러한 기기들도 펌웨어 취약점, 물리적 공격, 또는 사용자 부주의로 인해 위험에 노출될 수 있다. 콜드카드 사건에서 드러난 복구 문구의 취약성과 이번 트레저의 비밀번호 길이 확장 조치는 암호화폐 보안 생태계 전반에 걸쳐 지속적인 개선과 주의가 필요함을 시사한다.
콜드카드에서 발생한 1억 달러 규모의 도난 사건은 하드웨어 지갑 보안의 중요성을 다시 한번 각인시켰다. 당시 공격자들은 특정 펌웨어 버전의 콜드카드 지갑에 내재된 '시드 도우미(Seed XOR)' 기능을 악용하여, 복구 문구를 재구성하는 데 성공했다고 알려졌다. 이 기능은 사용자가 복구 문구를 잊어버렸을 때, 미리 설정해둔 특정 값(seed XOR value)을 이용하여 복구 문구를 복원할 수 있도록 설계되었으나, 이 값이 노출되거나 취약하게 설정될 경우 오히려 해킹의 통로가 될 수 있다는 점이 드러났다. 당시 이 사건으로 인해 상당수의 콜드카드 사용자들은 막대한 자산 손실을 경험했다.
트레저가 이번에 비밀번호 길이를 128자로 늘린 것은 이러한 공격 시나리오에 대한 방어 능력을 강화하려는 시도로 풀이된다. 50자에서 128자로 비밀번호 길이가 늘어난다는 것은 무차별 대입 공격(brute-force attack)으로 비밀번호를 알아내기 위한 경우의 수가 기하급수적으로 늘어난다는 것을 의미한다. 이는 공격자가 시간적, 자원적 측면에서 상당한 제약을 받게 됨을 시사한다. 또한, 트레저는 사용자들이 더욱 강력하고 고유한 비밀번호를 생성하고 관리할 수 있도록 사용자 경험 개선에도 노력을 기울일 것으로 예상된다.
이와 더불어, 트레저는 자사 기기 자체의 보안에 대한 우려에도 대응하고 있다. 최근 공인 판매업체였던 크립토빌리스를 통한 구매자들에게 자산 이전을 권고한 것은, 잠재적인 하드웨어 변조 가능성에 대한 민감한 사안을 다룬 것이다. 비록 트레저 측은 아직 해당 기기를 직접 검사하지 않았고 관련 피해 보고도 없다고 밝혔지만, 이러한 선제적인 조치는 사용자 신뢰를 유지하고 잠재적 위험을 최소화하기 위한 노력으로 평가된다. 암호화폐 하드웨어 지갑은 물리적 접근이 가능한 경우에도 보안이 유지되어야 하므로, 이러한 유형의 위협에 대한 철저한 조사와 대응이 필수적이다.
보안 전문가들은 하드웨어 지갑 사용 시 복구 문구와 비밀번호를 모두 안전하게 관리하는 것이 중요하다고 강조한다. 복구 문구는 종이에 적어 안전한 곳에 보관하고, 절대 디지털 형태로 저장하거나 온라인에 노출시키지 않아야 한다. 비밀번호 역시 복구 문구와는 별개로, 추측하기 어렵고 충분히 긴 길이로 설정하는 것이 권장된다. 또한, 신뢰할 수 있는 공식 판매처를 통해서만 하드웨어 지갑을 구매하고, 기기 수령 후에는 항상 최신 펌웨어로 업데이트하는 습관을 들이는 것이 중요하다.
이번 트레저의 결정은 암호화폐 보안 업계 전반에 걸쳐 경각심을 고취시키며, 다른 하드웨어 지갑 제조사들에게도 보안 강화 방안을 재검토하게 하는 계기가 될 수 있다. 특히, 1억 달러 규모의 자산이 탈취된 콜드카드 사건은 하드웨어 지갑의 펌웨어 및 보안 기능 설계에 있어 더욱 엄격한 기준과 지속적인 검증이 필요함을 시사한다. 암호화폐 시장의 규모가 커지고 규제가 강화되는 가운데, 사용자들이 안심하고 자산을 보관할 수 있도록 업계는 끊임없는 기술 개발과 보안 강화에 힘써야 할 것이다.