인터넷과 연결되지 않아 상대적으로 안전한 가상화폐 보관 수단으로 꼽히는 하드웨어 지갑(콜드월렛)에서 대규모 해킹이 발생하자 투자자들이 비트코인(BTC)을 개인지갑에서 거래소로 옮기고 있다. 거래소 유입량은 2022년 FTX 거래소 파산 이후 최고 수준까지 늘어나며 자기수탁(Self-custody) 보안에 대한 불안이 확산하는 모습이다.

3일 블록체인 분석업체 크립토퀀트에 따르면 지난 달 31일 10BTC 미만 규모의 거래소 입금량은 하루 7300BTC로 올해 2월 이후 최고치를 기록했다. 일일 활성 주소도 지난 달 30일 약 64만 5000개에서 하루 만에 100만 개 가까이 늘어났다. 훌리오 모레노 크립토퀀트 리서치 총괄은 “콜드카드 해킹 이후 투자자들이 안전한 곳을 찾기 위해 자산을 이동한 영향일 가능성이 있다”면서 “개인투자자가 하루 동안 이렇게 많은 BTC를 움직인 것은 FTX 붕괴 이후 처음”이라고 말했다.

이는 2022년 FTX 거래소 파산 당시와는 정반대의 모습이다. 당시에는 거래소의 파산 위험을 우려한 투자자들이 BTC를 개인지갑으로 옮겼지만, 이번에는 자기수탁에 대한 불안이 커지면서 오히려 개인지갑에서 거래소로 자산을 이동시키고 있다.

시장의 불안을 키운 것은 캐나다 비트코인 지갑 기업 코인카이트가 개발한 비트코인 전용 콜드월렛 ‘콜드카드’ 해킹 사건이다. 콜드월렛은 온라인 환경과 분리돼 있어 거래소나 인터넷에 연결된 컴퓨터보다 해킹 위험이 낮다는 이유로 장기 투자자와 기관투자가들이 자기수탁 수단으로 활용해 왔다. 그러나 이번 해킹 사건으로 보안 신뢰가 흔들리고 있다.

갤럭시 리서치에 따르면 이날 콜드카드를 노린 4차 조직적 공격으로 추정되는 움직임도 포착됐다. 이날 오전 9시 51분 기준 최근 약 2시간 30분 동안 218건의 거래를 통해 취약한 것으로 추정되는 462개 주소에서 약 388.9BTC 규모의 자산 이동이 관측됐다. 갤럭시 리서치는 “기존 공격과 동일한 패턴이 확인되고 있다”며 “콜드카드 이용자는 가능한 한 빨리 자산을 다른 지갑으로 옮기고 높은 거래 수수료를 설정해 거래를 전송하라”고 권고했다.

이번 해킹은 지난달 30일 첫 공격이 발생한 이후 현재까지 네 차례에 걸쳐 이어지고 있다. 첫 번째 공격에서는 약 41분 동안 1196개 주소에서 1082.65BTC가 탈취됐다. 이후 두 번째와 세 번째 공격이 잇따르면서 1~3차 공격까지의 누적 피해는 4585개 주소, 1367BTC(약 8900만 달러·약 1272억 원)로 집계됐다. 최근에는 수천 달러 규모의 소액 지갑까지 공격 대상이 확대되는 양상이다.

이번 공격은 콜드카드 일부 펌웨어의 취약점을 악용한 것이 특징이다. 공격자는 실제 기기를 해킹하거나 훔친 것이 아니라 2021년 3월 일부 펌웨어에서 발생한 시드(seed) 생성 오류를 이용했다. 시드는 개인키를 복구할 수 있는 비밀 문구로, 원래는 예측이 사실상 불가능한 난수를 이용해 생성돼야 한다. 하지만 해당 펌웨어에서는 예측 가능한 소프트웨어 난수 생성기가 사용되면서 생성 가능한 개인키의 경우의 수가 크게 줄어들었다.

공격자는 이를 이용해 컴퓨터에서 가능한 개인키를 반복적으로 계산한 뒤 블록체인에 공개된 지갑 주소와 대조해 실제 개인키를 찾아냈다. 이 모든 과정은 공격자의 컴퓨터에서 이뤄졌으며 피해자의 하드웨어 지갑에는 한 번도 접근하지 않았다.

다만 업계는 이번 사고가 하드웨어 지갑 전체의 문제가 아니라 특정 콜드카드 펌웨어의 취약점에서 비롯된 사례라고 보고 있다. 국내 가상화폐 하드웨어 지갑 제조사 디센트는 “이번 사례는 특정 제조사의 일부 제품과 펌웨어에서 확인된 이슈로, 모든 하드웨어 지갑에 동일하게 적용되는 문제로 보기는 어렵다”며 “다만 어떤 비수탁형 지갑이든 복구 단어(시드 문구)가 외부에 노출되면 자산이 위험해질 수 있는 만큼 철저한 관리가 필요하다”고 밝혔다.