비트코인 보안의 보루 콜드카드, 펌웨어 취약점 노출로 1억 3,000만 달러 손실 추정

비트코인 보안의 '골드 스탠다드'로 불리던 콜드카드(Coldcard) 하드웨어 월렛의 보안 사고 여파가 걷잡을 수 없이 커지고 있다. 갤럭시 리서치(Galaxy Research)는 2026년 8월 4일, 이번 해킹으로 인한 총 손실액이 최대 1억 3,000만 달러에 이를 수 있다는 분석 결과를 발표했다. 8월 1일 처음 공개된 보안 권고안으로 시작된 이번 사태는 불과 나흘 만에 시스템적 위기로 번지며 시장 전반에 큰 충격을 주고 있다.

특히 이번 사고는 10년 넘게 움직임이 없던 '고래' 지갑들까지 자금을 이동시키게 만드는 기폭제가 되었다. 보안에 민감한 장기 보유자들이 하드웨어 월렛의 안전성에 의구심을 품기 시작하면서, 자산 보호를 위한 대규모 자금 이동이 관측되고 있다. 이는 단순한 개별 해킹 사건을 넘어 비트코인 보관 인프라 전반에 대한 신뢰의 문제로 비화되는 양상이다.

갤럭시 리서치의 상세 분석에 따르면, 현재까지 약 7,300개의 주소에서 총 1,596 BTC의 탈취가 확인되었다. 이는 세 차례의 주요 공격 파동과 14건의 소규모 사고를 합산한 결과다. 갤럭시 측은 아직 확인되지 않은 '네 번째 공격 파동'의 피해 규모까지 합산할 경우, 전체 도난 자산은 2,055 BTC를 넘어설 것으로 보고 있다.

갤럭시 리서치는 현재까지 확인된 1,596 BTC의 도난 사실에 대해 높은 신뢰도를 가지고 있으며, 미확인된 네 번째 파동이 포함될 경우 총액은 1억 3,000만 달러에 달할 것으로 전망한다.

이번 사태의 근본 원인은 2021년에 배포된 콜드카드 펌웨어의 시드 생성 결함에 있는 것으로 밝혀졌다. STM32 하드웨어 난수 생성기(RNG)와 관련된 이 취약점은 약 5년 동안 잠복해 있다가 최근에야 본격적으로 악용되기 시작했다. 제조사인 코인카이트(Coinkite)는 해당 펌웨어를 통해 생성된 시드 구문이 공격자에게 노출될 위험이 있음을 공식 인정하고 사용자들에게 주의를 당부했다.

위기 타임라인: 2026년 8월 1일~4일

8월 초부터 시작된 피해 보고는 매일 기하급수적으로 증가하며 사용자들을 경악케 했다. 초기 7,000만 달러 수준이었던 추정 피해액은 불과 사흘 만에 1억 달러를 돌파했으며, 이는 하드웨어 월렛 역사상 최악의 보안 사고 중 하나로 기록될 전망이다.

• 2026년 8월 1일: 더 해커 뉴스(The Hacker News)를 통해 7,000만 달러 규모의 비트코인 탈취 보고.
• 2026년 8월 2일: 코인데스크 및 PYMNTS 보도에 따라 피해 규모 8,900만 달러로 상향 조정.
• 2026년 8월 3일: 포춘(Fortune) 지가 1억 1,600만 달러의 손실액 확인 및 추가 피해 가능성 제기.
• 2026년 8월 4일: 갤럭시 리서치, 미확인 공격 포함 시 총 1억 3,000만 달러 도달 가능성 분석.

보안 사고의 여파는 시장 내 장기 보유자들의 행동 변화로 즉각 나타났다. 2026년 8월 3일 월요일에는 12년 동안 휴면 상태였던 비트코인 지갑이 3,100만 달러 상당의 자금을 이동시킨 것으로 확인되었다. 이는 콜드카드 보안 침해에 대응하여 자산을 보다 안전한 환경으로 재배치하려는 고래들의 광범위한 움직임 중 일부로 해석된다.

코인카이트는 영향을 받은 펌웨어를 사용하는 모든 사용자에게 즉시 자금을 새로운 주소로 옮길 것을 촉구하고 있다. 가장 안전한 저장 수단으로 마케팅되었던 기기에서 발생한 이번 결함은 하드웨어 보안에 대한 커뮤니티의 신뢰에 깊은 상처를 남겼다. 업계 전문가들은 이번 사건이 향후 하드웨어 월렛 제조사들의 보안 검증 표준과 감사 절차를 강화하는 중요한 계기가 될 것으로 내다보고 있다.

네 번째 파동과 미확인 리스크

갤럭시 리서치는 현재 확인된 세 차례의 공격 외에도 추가적인 피해가 발생하고 있을 가능성을 경고했다. 특히 '네 번째 파동'으로 명명된 최근의 공격 징후들은 기존보다 더 정교한 방식으로 진행되고 있어 정확한 피해 규모 파악에 시간이 소요되고 있다. 갤럭시 측은 현재 분석 중인 데이터가 확정될 경우 피해액이 1억 3,000만 달러를 상회할 수도 있다는 신중한 입장을 보였다.

이번 사건은 하드웨어 월렛이 제공하는 '오프라인 보안'의 한계를 극명하게 보여주었다. 펌웨어 수준의 결함은 사용자가 기기를 인터넷에 연결하지 않더라도 자산 탈취의 경로가 될 수 있음을 입증했기 때문이다. 비트코인 커뮤니티에서는 이번 사태를 계기로 단일 하드웨어 월렛에 의존하기보다 멀티시그(Multi-sig)와 같은 분산 보안 솔루션을 도입해야 한다는 목소리가 힘을 얻고 있다.

결론적으로 콜드카드 해킹 사태는 암호화폐 보관 기술의 취약성을 다시 한번 일깨워준 사건이다. 2026년 8월 4일 현재까지도 피해 규모가 계속 늘어나고 있는 만큼, 사용자들은 제조사의 공식 권고안을 철저히 준수하고 자신의 자산이 안전한 펌웨어 버전에서 관리되고 있는지 재차 확인해야 한다. 이번 사태의 최종적인 경제적, 심리적 여파는 향후 몇 달간 시장에 지속적인 영향을 미칠 것으로 예상된다.