콜드카드, 시드 취약점 따른 보안 강화… 65회 키 입력 필수
CryptoSlate2026년 8월 23일 14:002
비트코인 하드웨어 지갑 제조사인 코인카이트(Coinkite)가 최근 발생한 시드 생성 취약점 문제에 대응하기 위해 새로운 펌웨어 업데이트를 발표하며, 사용자들에게 더욱 강화된 보안 조치를 요구하고 나섰습니다.
새로운 표준 펌웨어 버전 5.6.1 (Mk4 및 Mk5 기기), 1.5.1Q (Q 기기) 이상을 설치한 사용자들은 새로운 시드(Seed)를 생성할 때 무작위성을 높이기 위해 최소 65회의 키 입력, 50번의 주사위 굴림, 또는 128번의 동전 던지기 등 추가적인 물리적 무작위성을 확보해야 합니다. 이는 지갑 자체의 난수 생성기(RNG)에 대한 의존도를 낮추고 외부적인 무작위 요소를 도입하여 보안을 강화하려는 목적입니다. 이와 함께, 구형 펌웨어(Mk2, Mk3: 4.0.1~4.1.9, Mk4, Mk5: 5.6.0 이전, Q: 1.5.0Q 이전)에서 생성된 시드의 경우, 영향을 받았을 가능성이 있어 해당 시드로부터 생성된 자산을 새로운 시드로 이전해야 하는 상황이 발생했습니다. 다만, 특정 조건을 충족하는 경우 이 이전 조치가 면제될 수 있습니다.
코인카이트의 이번 조치는 기존 펌웨어에서 발생한 보안 취약점을 해결하고, 향후 발생할 수 있는 유사한 위협에 대비하기 위한 선제적인 대응책으로 풀이됩니다. 문제는 과거 특정 펌웨어 버전(Mk2, Mk3: 4.0.0 포함)에서 사용자가 생성한 시드에 대한 보안이 충분하지 않았다는 점입니다. 이 취약점은 마이크로파이썬(MicroPython)의 결정론적 폴백(deterministic fallback)으로 요청이 라우팅될 수 있는 코드상의 문제로 인해 발생한 것으로 파악되었습니다.
코인카이트는 공식적인 마이그레이션 가이드라인을 통해 사용자들에게 상세한 이전 절차를 안내하고 있습니다. 영향받은 펌웨어로 생성된 시드를 사용하는 사용자들은 반드시 새로운 시드를 생성하고, 그 백업 및 지갑 지문(wallet fingerprint)을 확인해야 합니다. 또한, 수신 주소를 기기에서 재확인하고 소액 테스트 거래를 보낸 후, 기존 시드와 연결된 모든 자산을 새로운 지갑으로 이전해야 합니다. 단순히 지갑을 복제하거나 복원하는 것만으로는 새로운 시드를 생성하는 것이 아니며, 보안상의 이점을 얻을 수 없다는 점을 명확히 했습니다.
하지만 모든 사용자가 자산을 이전해야 하는 것은 아닙니다. 만약 사용자가 취약한 펌웨어에서 영향을 받은 워크플로우를 통해 최소 50번의 독립적이고 사적인 물리적 주사위 굴림을 수행했으며, 그 결과를 기록하거나 노출하지 않았다면, 해당 시드는 안전한 것으로 간주되어 자산 이전이 필수는 아닙니다. 이 '주사위 굴림 예외' 조항은 사용자가 이미 충분한 물리적 무작위성을 확보했음을 인정하는 것입니다. 그러나 주사위 굴림 횟수가 50회 미만이거나, 그 조건에 대한 불확실성이 존재한다면, 자산 이전이 권고됩니다.
이번 보안 강화 조치는 콜드카드의 '디스 롤스 온리(Dice Rolls Only)'와 같은 고급 옵션과는 다르게 적용됩니다. '디스 롤스 온리' 모드는 하드웨어 난수 생성을 완전히 배제하고 12단어 시드의 경우 50번, 24단어 시드의 경우 99번의 주사위 굴림을 요구하는 방식으로, 이번 펌웨어 업데이트를 통한 조치는 이러한 고급 옵션과는 별개의 표준 시드 생성 과정에 대한 보완책입니다.
코인카이트는 이번 펌웨어 업데이트를 통해 서명 및 데이터 경로에 대한 보안도 강화했습니다. USB 검토를 스테이지드 PSBT(Partially Signed Bitcoin Transaction) 체크섬에 바인딩하고, 거래 서명에 대한 재검사를 수행하는 등 다층적인 보안 검증 절차를 도입했습니다. 이는 사용자들의 비트코인 거래가 더욱 안전하게 처리될 수 있도록 지원하는 데 목적이 있습니다.
이번 사태는 아무리 강력한 하드웨어 지갑이라 할지라도 소프트웨어적인 취약점이 존재할 수 있으며, 사용자 스스로도 보안에 대한 경각심을 늦추지 않고 최신 업데이트 및 보안 권고사항을 준수하는 것이 얼마나 중요한지를 다시 한번 일깨워주고 있습니다. 특히 비트코인과 같은 디지털 자산을 다루는 사용자들은 자신의 자산을 안전하게 보호하기 위해 이러한 기술적 변화와 보안 위협에 대한 꾸준한 관심이 필요합니다.
보안 전문가들은 이번 콜드카드의 조치가 하드웨어 지갑 보안 분야에서 중요한 사례로 남을 것이라 평가하고 있습니다. 사용자들의 참여를 통해 보안성을 높이는 방식은 앞으로 다른 하드웨어 지갑 제조사들에게도 영감을 줄 수 있을 것으로 예상됩니다. 또한, 블록체인 기술의 발전과 함께 보안 위협 또한 진화하고 있음을 시사하며, 지속적인 연구 개발과 사용자 교육의 중요성을 강조하고 있습니다.