BitBox, 치명적 보안 취약점 긴급 패치…자금 탈취 가능성

하드웨어 암호화폐 지갑 제조사 BitBox가 심각한 보안 취약점 두 가지를 해결하는 펌웨어 업데이트를 긴급 배포했다고 월요일 밝혔다. 해당 취약점은 악성 펌웨어 설치를 가능하게 하거나 사용자 자산을 위험에 빠뜨릴 수 있는 가능성을 내포하고 있었다.

BitBox는 모든 사용자에게 펌웨어 버전 9.26.5로 업데이트할 것을 강력히 권고했으며, 현재까지 해당 취약점이 악용되거나 자금 손실이 발생했다는 보고는 접수되지 않았다고 덧붙였다. 이번 업데이트는 BitBox02 및 BitBox02 Nova 멀티 에디션 사용자들에게 적용되며, 특히 지갑이 아직 설정되지 않은 상태에서 발생할 수 있는 문제에 대한 조치이다.

보안 발표에 따르면, 첫 번째 취약점은 메모리 손상과 관련된 것으로, 악의적인 호스트가 이를 악용할 경우 임의 코드를 실행하고 잠재적으로 악성 펌웨어를 설치할 수 있었다. 이는 결국 사용자 자금의 손실로 이어질 수 있는 심각한 위협이었다.

두 번째 취약점은 BitBox의 '사일런트 페이먼트(Silent Payments)' 구현에 영향을 미쳤다. 이 문제를 통해 악의적인 호스트는 비트코인을 의도치 않은 주소로 잠글 수 있었다. BitBox는 이 경우 직접적인 자금 탈취는 불가능하지만, 공격자가 코인 복구를 돕는 대가로 금전을 요구할 수 있는 상황이 발생할 수 있다고 설명했다.

이번 BitBox의 보안 업데이트는 최근 하드웨어 지갑 보안에 대한 우려가 높아지는 가운데 나왔다. 특히, 자체 관리(self-custody) 솔루션에 대한 관심이 증폭되고 있는 시점에서 발생한 이번 문제는 사용자들에게 큰 경각심을 안겨주고 있다. 얼마 전 Coldcard 펌웨어 결함이 1억 1200만 달러 이상의 비트코인 탈취 사건과 연관된 것으로 밝혀지면서, 개인 키를 보호하기 위해 설계된 기기 자체의 약점이 보안의 실패 지점이 될 수 있음을 다시 한번 상기시켰다.

Cointelegraph는 BitBox 측에 추가 정보를 요청했지만, 보도 시점까지 회신을 받지 못했다.

**Coldcard 탈취 사건 이후 잇따른 보안 사고**

BitBox의 이번 보안 패치는 최근 연이어 발생하고 있는 하드웨어 지갑 관련 사고들 가운데 나왔다. 가장 피해가 컸던 것은 Coldcard 펌웨어 결함 사건이다. 이 결함은 2021년 3월의 펌웨어 변경 사항으로 거슬러 올라가며, 5년 이상 탐지되지 않은 채 방치되어 있었다. 이 취약점은 지갑 시드(seed)의 무작위성에 영향을 미쳐, 공격자가 해당 지갑 시드를 무작위 대입(brute-force) 방식으로 알아내고 물리적 접근 없이 개인 키를 도출할 수 있게 했다.

Galaxy Research는 지난 금요일, Coldcard 관련 손실액이 1억 1200만 달러를 초과했으며, 약 8,600개 이상의 주소에서 1,778.6 BTC가 유출된 것으로 추정된다고 발표했다. 이는 2026년 7월에 발생한 두 번째로 큰 규모의 월별 손실 기록이라는 분석도 나왔다.

최근에는 Trezor와 SafePal에서도 별도의 데이터 유출 사고가 발생하여 53,000명 이상의 고객 정보를 포함한 주문 정보가 노출되었다. Trezor는 배송업체 ShipMonk에 의한 13,689명의 고객 데이터 유출을, SafePal은 주문 추적 플러그인의 인증 오류로 인해 39,798명의 고객 세부 정보가 노출되었다고 밝혔다.

이러한 사고들은 기기 자체, 개인 키 또는 복구 문구를 직접적으로 침해한 것은 아니지만, 노출된 정보를 활용한 표적 피싱 공격 및 사칭 공격의 위험성을 높인다고 양사는 경고했다. 일부 매체에서는 Coldcard 공격 사례를 들며 모든 하드웨어 지갑이 더 이상 안전하지 않은 것인지에 대한 의문을 제기하기도 했다.

**하드웨어 지갑 보안의 중요성과 투자자 유의사항**

하드웨어 지갑은 암호화폐 자산을 안전하게 보관하기 위한 핵심 수단으로, 개인 키를 오프라인 환경에 보관하여 온라인 해킹으로부터 자산을 보호하는 데 중점을 둔다. 그러나 이번 BitBox와 Coldcard 사례는 아무리 강력한 보안 장치라 할지라도 소프트웨어 또는 펌웨어의 취약점이 존재할 수 있음을 시사한다. 또한, 배송 업체나 주문 추적 플러그인과 같은 외부 서비스의 보안 허점 역시 사용자 정보 유출로 이어질 수 있다는 점은 시사하는 바가 크다.

암호화폐 투자자들은 하드웨어 지갑을 사용할 때 다음과 같은 사항을 유의해야 한다.

첫째, 최신 펌웨어 업데이트를 항상 최신 상태로 유지하는 것이 중요하다. 제조사는 발견된 취약점을 해결하기 위해 지속적으로 펌웨어 업데이트를 제공하며, 이를 통해 보안 위험을 최소화할 수 있다. BitBox의 경우처럼, 업데이트 권고가 있을 경우 즉시 따르는 것이 필수적이다.

둘째, 지갑 설정 및 사용 과정에서 제공되는 모든 지침을 주의 깊게 따르고, 복구 문구(recovery phrase)는 안전한 곳에 기록하여 오프라인으로 보관해야 한다. 또한, 의심스러운 웹사이트나 이메일을 통한 개인 정보 노출은 절대 금물이다.

셋째, 하드웨어 지갑 제조사의 보안 정책 및 과거 사고 이력을 확인하는 것도 도움이 된다. 신뢰할 수 있는 제조사의 제품을 선택하고, 발생 가능한 위험에 대해 충분히 인지하는 것이 중요하다.

넷째, 최근과 같은 데이터 유출 사고의 경우, 피싱 공격에 각별히 주의해야 한다. 개인 정보 노출로 인해 해커들이 투자자의 정보를 파악하고 더욱 정교한 공격을 시도할 수 있기 때문이다. 의심스러운 연락이나 요청에 대해서는 항상 재확인하는 습관이 필요하다.

하드웨어 지갑은 암호화폐 보안의 최전선이지만, 완벽한 솔루션은 아니다. 지속적인 경계와 최신 정보 업데이트, 그리고 신중한 사용만이 소중한 자산을 안전하게 지킬 수 있는 길이다.