피해액 1억3천만달러 추정…"조사 진행 중"
(서울=연합뉴스) 유동현 기자 = 가상자산 보안 방식 중 가장 안전하다고 여겨졌던 '콜드월렛'(오프라인 지갑)에서 대규모 해킹 사고가 발생하면서 보안 위협이 업계 화두로 떠올랐다.
5일 블룸버그, 테크크런치 등 외신에 따르면 최근 캐나다 코인카이트(Coinkite)사가 제조한 비트코인 하드웨어 지갑 '콜드카드'(Coldcard)에서 펌웨어 결함을 악용한 해킹 공격이 발생했다.
블록체인 분석업체 갤럭시 리서치는 전날 엑스(X·옛 트위터)를 통해 콜드카드를 둘러싼 세 차례 해킹으로 7천300개 주소에서 1천596개 비트코인이 도난당한 것으로 추정했다.
이어 해킹 규모가 작은 14건의 추가 사례가 의심된다면서 이를 포함하면 피해 규모는 1억3천만달러(비트코인 약 2천개 상당)에 달한다고 분석했다.
알렉스 쏜(Alex Thorn) 갤럭시 리서치 연구 책임자는 엑스를 통해 "현재 수많은 공격자가 콜드카드 취약점을 악용하고 있다"며 "최소 15명 이상 공격자가 활동하고 있는 것으로 추정된다"고 밝혔다.
이번 해킹은 콜드카드의 소프트웨어 결함에서 비롯된 것으로 추정된다.
보안업체 블록(Block)은 콜드카드가 시드(seed·고유 난수 값)를 생성하는 방식이 취약해 해커들이 이를 예측할 수 있었다고 지적했다.
난수를 생성하는 '무작위성'이 보안의 핵심 요소인데, 콜드카드에서는 간단한 값을 사용해 키를 생성할 수 있다는 것이다.
콜드월렛은 USB 등 별도 물리 장치를 통해 가상자산을 보관하는 방식으로 시드나 개인 키를 통해 보안을 유지한다.
인터넷과 연결되지 않기 때문에, 시드와 개인 키 보안을 유지하고 물리 장치를 분실하지 않는다면 이론상 안전한 보안 방식으로 평가받았다.
이와 관련, 한황제 한국디지털에셋(KODA) 소프트웨어 엔지니어는 "이번 사고는 '오프라인 보관'과 '안전한 보관'이 반드시 같은 의미는 아니라는 사실을 보여준다"며 "콜드월렛이라는 물리적 형태만으로 안전성을 판단해서는 안 된다"고 말했다.
그러면서 "개인키가 어떤 장비에서 어떻게 생성됐는지, 충분한 품질의 난수가 사용됐는지, 어떤 소프트웨어와 운영 절차를 거쳤는지까지 함께 살펴야 한다"고 했다.
코인카이트는 전날 자사 홈페이지를 통해 현재 조사가 진행 중이라면서 "시드 구문이 문제가 있는 펌웨어로 생성됐고, 최소 50회 이상의 독립적인 주사위 굴림(난수 생성 방식)을 거치지 않았다"고 밝혔다.
이어 "이번 취약점은 코인카이트뿐 아니라 비트코인 하드웨어와 소프트웨어를 개발하는 모든 회사에 경고가 된다"고 언급했다.
yudh@yna.co.kr
(끝)
ADVERTISEMENT
<저작권자(c) 연합뉴스, 무단 전재-재배포, AI 학습 및 활용 금지>
ADVERTISEMENT
ADVERTISEMENT
ADVERTISEMENT
ADVERTISEMENT