이 글은 투자 권유가 아니며, 정보 제공 목적으로 작성되었습니다. 투자 판단과 그 결과에 대한 책임은 본인에게 있습니다.
지난 7월 31일, 비트코인 하드웨어 지갑 제조사 코인키트(Coinkite)가 콜드카드(Coldcard) Mk3 사용자들에게 이례적인 공지를 올렸습니다. 특정 조건에서 생성된 시드 문구가 위험할 수 있으니 자금을 새 지갑으로 옮기라는 내용이었죠. 코인텔레그래프 보도에 따르면, 이 공지는 594 BTC(약 3,830만 달러) 규모의 미확인 스윕 거래가 조사되던 와중에 나온 것이라 더 주목받았습니다.
무슨 일이 있었나
코인텔레그래프에 따르면 코인키트는 2026년 7월 31일 콜드카드 Mk3 기기에서 특정 펌웨어로 생성된 시드가 자금 손실 위험에 노출될 수 있다고 발표했습니다. 비슷한 시기에 보안 연구자들은 500건이 넘는 거래에 걸쳐 1,324개의 미사용 출력값이 단일서명 주소들로 옮겨진 사건을 별도로 들여다보고 있었습니다.
두 사안이 같은 시점에 알려지면서 자연스럽게 서로 연결지어 보는 시각이 많아졌어요. 다만 코인키트도, 조사 중인 보안 전문가들도 두 사건 사이의 직접적인 인과관계는 아직 확정되지 않았다고 선을 그었습니다.
콜드카드 Mk3, 어떤 문제가 있었나
코인텔레그래프 보도에 따르면 문제가 된 범위는 2021년 3월 출시된 펌웨어 4.0.1 버전부터, Mk3에 지원되는 마지막 펌웨어인 5.0.3 버전까지입니다. 이 구간에서 생성된 시드 문구는 예상보다 낮은 무작위성(엔트로피)을 가질 수 있다는 우려가 제기됐습니다. 후속 모델인 Mk4, Q, Mk5는 이번 이슈의 영향을 받지 않는다고 회사 측은 밝혔습니다.
코인키트는 BIP-39 패스프레이즈를 함께 사용한 시드는 상대적으로 위험이 낮다고 설명했어요. 다만 짧거나 흔한 패스프레이즈, 여러 곳에 반복 사용한 패스프레이즈는 신뢰하기 어렵다는 단서도 함께 달았습니다.
코인 관련 최신 소식이 궁금하다면 아래에서 더 확인해보세요.
에어드랍 최신 정보 보기594 BTC 스윕 사건 자세히 보기
코인텔레그래프에 따르면 이번에 조사 대상이 된 스윕은 594.48 BTC, 당시 시세로 약 3,830만 달러 규모였습니다. 500건의 거래를 통해 1,324개의 미사용 출력값이 전부 단일서명 주소로 옮겨진 형태로 확인됐다고 해요.
보안업체 앵커워치(AnchorWatch)의 CEO는 지갑 생성 과정에서 발생한 결함 있는 엔트로피 가능성을 언급했고, 위저드사딘(Wizardsardine) CEO 역시 저엔트로피 난수생성기 결함 가설을 제시했다고 알려져 있습니다. 다만 두 사람 모두 콜드카드 Mk3의 취약점이 이번 스윕의 직접 원인이라고 단정하지는 않았어요. "가능성 있는 설명 중 하나" 수준의 신중한 언급이었던 셈이죠.
콜드카드 Mk3 사용자가 지금 확인해야 할 체크리스트
- 보유 중인 기기가 실제로 Mk3인지, 시드를 언제 생성했는지부터 확인하기
- 공식 코인키트 채널(공식 홈페이지, 공식 트위터)에서 최신 공지를 직접 재확인하기
- 자금을 옮기기 전, 반드시 새 시드를 안전한 기기에서 생성하고 백업을 검증하기
- 소액 테스트 전송으로 정상 작동을 확인한 뒤에 잔액을 이동하기
- 마이그레이션이 끝나기 전까지 기존 백업을 함부로 폐기하지 않기
이런 보안 이슈가 알려지면 이를 악용해 "마이그레이션 도와드립니다"라며 접근해 시드 문구를 요구하는 사기가 뒤따르는 경우가 흔합니다. 아래 원칙은 이 블로그가 매번 강조하는 내용이지만, 이런 시기에는 특히 더 중요합니다.
개인키·시드문구를 요구하는 이벤트는 절대 참여하지 마세요. 공식 채널(공식 홈페이지, 공식 SNS)을 반드시 재확인하세요.
거래소들이 진행 중인 이벤트도 궁금하다면 함께 확인해보세요.
거래소 이벤트 모아보기하드웨어 지갑 자가보관, 이번 사건이 남긴 질문
이번 사건은 콜드월렛이라고 무조건 안전한 건 아니라는 사실을 다시 한번 보여줬습니다. 하드웨어 지갑도 결국 펌웨어라는 소프트웨어로 동작하는 기기이고, 그 안의 난수생성 로직에 결함이 있으면 오프라인 보관이라는 장점이 무색해질 수 있거든요.
다만 이번 사례가 자가보관 자체를 부정하는 근거가 되는 건 아닙니다. 오히려 정기적으로 공식 채널의 보안 공지를 확인하고, 필요하면 펌웨어를 최신 상태로 유지하는 습관이 왜 중요한지를 보여주는 사례에 더 가깝습니다.
거래소에 자산을 맡기는 방식과 자가보관 방식, 각각의 리스크가 다르다는 점도 다시 생각해볼 지점입니다. 거래소는 해킹·파산 리스크가 있고, 자가보관은 기기 결함·분실·관리 실수 리스크가 있죠. 어느 쪽이든 "위험이 0"인 방법은 없다는 걸 이번 사건이 다시 한번 일깨워준 셈입니다.
마무리
콜드카드 Mk3를 쓰고 계신다면 오늘 공지를 다시 한번 직접 확인해보시길 권합니다. 사용하고 있지 않더라도, 하드웨어 지갑을 고를 때 제조사가 보안 이슈를 얼마나 투명하게 공개하고 빠르게 대응하는지가 참고할 만한 기준이 될 수 있어요.
저희는 앞으로도 코인텔레그래프·코인데스크 등 실제 보도를 기반으로 이런 보안 이슈와 거래소 이벤트, 에어드랍 정보를 정리해서 전달하겠습니다.
오늘의 코인 뉴스가 궁금하다면 아래에서 이어서 확인해보세요.
오늘의 코인 뉴스 더보기출처
- Cointelegraph, "Coldcard issues Mk3 warning as experts examine $38M Bitcoin wallet drain" — cointelegraph.com
- Coinkite 공식 블로그, "Mk3 Security Advisory" — blog.coinkite.com