콜드카드, 시드 생성 보안 대폭 강화... "기존 시드는 여전히 위험"

하드웨어 지갑 제조사 코인카이트(Coinkite)가 자사 콜드카드(Coldcard) 제품군의 보안을 대폭 강화하는 펌웨어 업데이트를 배포하며 사용자들의 즉각적인 주의를 촉구하고 나섰다. 이번 업데이트는 특히 지갑의 핵심 보안 요소인 시드(seed) 문구 생성 방식에 대한 취약점을 보완하는 데 중점을 두고 있다. 코인카이트는 기존에 생성된 시드 문구의 경우, 이번 보안 업데이트 이후에도 여전히 위험에 노출될 수 있다면서, 자금 이체를 위해서는 반드시 새롭게 생성된 안전한 시드 문구로 교체해야 한다고 강조했다.

새롭게 공개된 펌웨어 버전 5.6.1 (콜드카드 Mk4, Mk5 모델) 및 1.5.1Q (콜드카드 Q 모델)는 사용자가 직접 제공하는 무작위 정보와 기기 자체의 무작위 생성 기능을 결합하여 시드 문구의 예측 불가능성을 극대화하는 방식을 채택했다. 구체적으로, 새로운 시드 문구를 생성하기 위해서는 사용자가 예측하기 어려운 타이밍으로 최소 65번의 키 입력, 6면체 주사위 50번 굴림, 또는 128번의 동전 던지기 등과 같은 정보를 직접 제공해야 한다. 이와 함께, 콜드카드 내부에 탑재된 보안 요소(secure elements)와 하드웨어 난수 생성기(RNG)에서 생성되는 무작위성이 결합되어 지갑의 개인 키를 더욱 예측하기 어렵게 만든다.

이번 업데이트는 지갑의 개인 키가 단 하나의 무작위 소스에 의존하는 대신, 여러 소스의 무작위성을 조합함으로써 특정 엔트로피 소스에 문제가 발생하더라도 전반적인 보안 수준을 유지하도록 설계되었다. 코인카이트는 사용자들에게 즉시 펌웨어 업데이트를 설치할 것을 강력히 권고하며, 특히 기존에 생성된 시드 문구는 이번 업그레이드 이후에도 취약성을 그대로 가지고 있으므로, 자금을 옮기기 전에 반드시 새로운 시드 문구로 교체해야 한다고 재차 강조했다.

이는 지난 2026년, 콜드카드 지갑의 시드 생성 취약점을 악용한 해킹 사건으로 인해 상당 규모의 비트코인이 유출된 사건과 무관하지 않다. 당시 갤럭시 리서치(Galaxy Research)의 8월 14일 보고서에 따르면, 이 사건으로 인해 확인된 손실액은 총 1,778 비트코인(BTC)에 달하며, 이는 당시 약 1억 1,200만 달러(한화 약 1,500억 원)에 해당하는 금액이다. 디파이 라마(DefiLlama)가 집계한 데이터에 따르면, 이는 2026년 발생한 암호화폐 해킹 사건 중 세 번째로 큰 규모로 기록되었다.

코인카이트는 이번 펌웨어 업데이트 이전에도 보안 강화를 위한 노력을 지속해왔다. 지난 7월 31일 배포된 펌웨어 업데이트는 이미 새로 생성되는 지갑의 시드 생성 실패 문제를 해결한 바 있다. 목요일에 배포된 최신 업데이트는 이후 3주간의 광범위한 보안 검토 과정을 거쳐 이루어졌으며, USB 데이터 처리, 거래 서명, 하드웨어 무작위성 생성 등 다방면에 걸쳐 추가적인 보안 보호 기능을 도입했다.

코인카이트는 새로운 펌웨어가 USB 포트가 손상되었을 가능성이 있는 이론적인 공격 시나리오에 대응하기 위해, 거래 서명 직전에 거래 정보를 재확인하는 기능을 추가했다고 설명했다. 또한, 추가적인 하드웨어 RNG 검증 기능과 지갑이 의도된 하드웨어 경로를 사용하고 있는지 확인하기 위한 부팅 시 테스트 기능도 새롭게 도입되었다. 이러한 조치들은 지갑의 전반적인 무결성과 안전성을 더욱 강화하기 위한 것이다.

이 외에도, USB를 통한 데이터 다운로드는 기기의 가장 최근 출력 내용으로만 제한되며, 암호화된 세션이 요구된다. 또한, 거래 출금액이 수정될 수 있도록 허용하는 특정 비트코인 서명 해시 모드(Bitcoin signature hash modes)는 이제 기본적으로 차단되어, 거래의 불변성을 더욱 강화했다.

한편, 이러한 시드 생성 취약점을 악용한 사건이 연이어 발생하면서, 다른 보안 업체들도 잠재적으로 노출된 지갑을 식별하기 위한 소프트웨어 개발에 나서고 있다. 블록체인 보안 전문 기업 코인스펙트(Coinspect)는 약한 시드 문구로 생성된 지갑 주소를 식별할 수 있는 무료 공개 도구인 '언러키(Unlukey)'를 공개했다. 코인스펙트가 금요일 X(구 트위터) 게시물을 통해 밝힌 바에 따르면, 이 도구의 초기 버전은 알려진 약한 시드 생성 방식을 재현하고, 공개된 주소들이 영향을 받은 데이터셋에 속하는지 확인하는 것을 목표로 하고 있다. 이는 시드 생성 과정에서의 취약점이 여전히 암호화폐 보안의 중요한 과제임을 시사한다.

TRM Labs는 2021년 3월에 발생한 펌웨어 버그가 시드 생성의 약화를 초래한 주요 원인 중 하나였다고 지적한 바 있다. 이번 콜드카드 업데이트는 이러한 과거의 사건들을 교훈 삼아, 사용자들에게 더욱 안전하고 신뢰할 수 있는 디지털 자산 관리 환경을 제공하려는 코인카이트의 의지를 보여주는 중요한 발전이라고 할 수 있다. 사용자들은 자신의 소중한 자산을 보호하기 위해 최신 보안 업데이트를 즉시 적용하고, 필요한 경우 기존 시드 문구를 새로운 것으로 교체하는 절차를 신속하게 진행해야 할 것이다.

이번 펌웨어 업데이트는 단순한 기능 개선을 넘어, 암호화폐 하드웨어 지갑 보안의 최전선에서 끊임없이 진화하는 위협에 대응하기 위한 업계의 노력을 단적으로 보여주는 사례이다. 콜드카드는 이번 업데이트를 통해 사용자들에게 한층 강화된 보안 환경을 제공함으로써, 디지털 자산의 안전한 보관에 대한 신뢰를 더욱 공고히 할 것으로 기대된다. 사용자들은 이러한 보안 업데이트에 대한 관심을 꾸준히 유지하고, 관련 권고 사항을 적극적으로 따르는 것이 중요하다.