2021년 Coldcard 펌웨어 결함이 여전히 비트코인 지갑을 소모하고 있습니다

Galaxy, Coldcard 도난의 네 번째 파동 경고

Galaxy Research, 연구 책임자인 Alex Thorn이 이끄는 분석 팀은 Coldcard 하드웨어 지갑에 저장된 비트코인을 타겟으로 하는 네 번째 도난 파동을 보고했습니다. Galaxy Research에 따르면 약 2시간 30분의 시간 동안 약 388.93 비트코인 (BTC)이 218건의 거래를 통해 이동했습니다. 이 코인은 462개의 피해자 주소에서 나와 216개의 새로 생성된 주소로 이동했습니다. Galaxy는 영향을 받은 지갑이 결함으로 인해 노출된 Coldcard 잔액의 온체인 형태와 일치한다고 밝혔습니다. Coldcard는 Coinkite가 제작한 하드웨어 지갑으로, 비트코인 키를 오프라인으로 저장합니다.

온체인 데이터는 자동화된 휩쓸기를 보여줍니다

출금은 수동이 아니라 기계적으로 보였습니다. Galaxy Research는 이 파동 동안 블록당 약 13.8회의 휩쓸기를 측정했으며, 이는 사건 이전의 조용한 제어 창에서의 비율보다 약 45배 높은 수치입니다. 공격자는 도난당한 코인을 풀지 않고 각 피해자에 대해 새 목적지 주소를 만들었습니다. Thorn은 이 작전이 의도적이고 프로그램적이며, 아마도 대규모 언어 모델(LLM)을 사용하여 조정되었을 것이라고 제안했습니다. 이러한 접근 방식은 공격자가 한 번에 많은 지갑을 스캔하고 비우는 것을 가능하게 했습니다.

2021년 펌웨어 결함이 지갑의 무작위성을 약화시켰습니다

도난은 2021년 3월에 Coinkite의 Coldcard 장치에서 도입된 펌웨어 빌드 오류로 추적됩니다. 이 버그는 시드 생성을 장치의 전용 하드웨어 난수 생성기(RNG) 대신 소프트웨어 의사 난수 생성기(PRNG)로 라우팅했습니다. 이는 개인 키를 비밀로 유지하는 무작위성인 엔트로피가 너무 적은 지갑 시드를 생성하여 많은 키를 추측할 수 있게 만들었습니다. 그 업데이트 이후 영향을 받은 펌웨어에서 생성된 모든 단일 서명 시드는 동일한 약점을 가지고 있습니다. 영향을 받은 펌웨어는 그 기간 동안 출시된 Coldcard 모델에 걸쳐 있었으며, 이후의 장치조차도 의도된 128비트보다 적은 무작위성을 가지고 있었습니다. Coinkite는 패치를 출시하고 노출된 사용자에게 자금을 이전하라고 알렸습니다.

총 손실액이 8,800만 달러를 초과했습니다

손실은 7월 말에 이 취약점이 나타난 이후 연속적인 파동을 통해 증가했습니다. Galaxy Research는 누적 총액이 7,500만 달러를 초과한 후 8,900만 달러에 근접했다고 추적했으며, 이번 네 번째 파동이 더 추가되었습니다. 7월 말의 초기 휩쓸기는 약 40분 만에 천 개 이상의 주소를 비웠습니다. 총 1,360 비트코인이 수천 개의 주소에서 소모되었으며, 코인이 이동할 때 약 8,800만 달러의 가치가 있었습니다. Galaxy는 2021년 업데이트 이후 생성된 Coldcard 주소는 소유자가 자금을 이동할 때까지 노출된 상태로 남아 있다고 경고했습니다.

비트코인은 발표 시점에 약 62,700달러에 거래되고 있었습니다

비트코인은 발표 시점에 약 62,725달러에 거래되었으며, 지난 24시간 동안 이전 마감가 대비 1.1% 하락했습니다 (CoinPaprika, 2026년 8월 3일). 시장 가치는 약 1.26조 달러에 달했습니다. 비트코인은 또한 2025년 10월에 설정된 기록적인 고점인 126,000달러보다 약 50% 낮은 수준에 있었습니다 (CoinPaprika, 2026년 8월 3일). 도난당한 코인은 그 총액의 작은 부분을 형성합니다. 그러나 영향을 받은 보유자에게는 손실이 심각합니다. 왜냐하면 소모된 단일 서명 지갑은 복구할 수 없기 때문입니다.

영향을 받은 보유자는 자금을 신속하게 이동할 것을 권장받고 있습니다

Galaxy Research는 여전히 키를 제어하는 보유자들이 대응할 수 있다고 말했습니다. 그들은 공격자가 자금을 휩쓸기 전에 더 높은 수수료로 경쟁 거래를 방송하여 안전한 지갑으로 코인을 이동할 수 있을 것이라고 언급했습니다. 추가 비밀번호나 충분한 수동 주사위를 사용하여 생성된 시드는 노출된 것으로 간주되지 않습니다. Coinkite는 모든 영향을 받은 사용자에게 지체 없이 행동할 것을 촉구했습니다. Galaxy는 자동화된 휩쓸기가 보고하는 동안 여전히 자금을 이동하고 있었기 때문에 응답을 긴급한 것으로 간주했습니다.