가상자산을 인터넷과 분리해 보관하는 오프라인 지갑(콜드월렛) '콜드카드'에서 잇따라 비트코인이 탈취되면서 논란이 커지고 있다. 피해 규모가 약 1900억 원에 달하는 것으로 추산되며 공격자도 최소 15명에 달하는 것으로 파악돼 가상자산을 직접 보관하는 '셀프커스터디'의 안전성에 대한 우려가 커지고 있다.

5일 가상자산 업계에 따르면 갤럭시리서치는 콜드카드의 보안 취약점을 악용한 세 차례의 대규모 공격과 14건의 소규모 공격으로 7300여 개 주소에서 비트코인 1596개가 탈취된 것으로 분석했다.

아직 피해가 확정되지 않은 네 번째 공격까지 포함하면 총피해 규모는 약 1900억 원 규모(비트코인 2055개)에 이를 것으로 추산된다. 온체인 분석업체 온체인렌즈도 네 번째 공격을 포함해 현재까지 비트코인 1816개가 탈취된 것으로 추정했다.

공격은 지난달 말부터 여러 차례에 걸쳐 이뤄졌다. 체이널리시스에 따르면 공격자는 비트코인을 많이 보유한 지갑부터 노렸으며, 10분간 약 3000만 달러를 탈취했다. 이후 약 25분 동안 500개 지갑의 자금이 모두 빠져나갔다.

네 번째 공격으로 의심되는 자금 이동에서는 약 2시간 30분 동안 비트코인 388개가 새로운 주소로 옮겨졌다.

이번 사건에 가담한 공격자는 최소 15명으로 추정된다. 한 명이 일회성으로 자금을 빼낸 것이 아니라 여러 공격자가 보안에 취약한 지갑을 찾아 경쟁적으로 털고 있는 셈이다. 콜드카드 제조사 코인카이트도 보안 위협을 우려해 이용자들에게 지갑 프로그램을 업데이트하고 자금을 옮기라고 권고했다.

콜드카드는 비트코인에 접근하는 개인 키를 인터넷과 분리해 보관하는 하드웨어 지갑이다. 인터넷에 연결된 온라인 지갑(핫월렛)보다 외부 공격에 안전하다는 평가를 받아왔다.

그러나 이번엔 지갑의 '비밀번호(시드구문)'를 만드는 과정에서 생긴 결함이 악용됐다. 일부 제품이 지갑을 복구할 때 사용하는 단어 조합을 충분히 무작위로 만들지 못했다는 설명이다. 공격자들은 일정한 규칙에 따라 만들어진 단어 조합을 반복·추측해 지갑에 접근한 것으로 분석된다.

쉽게 말해 금고 자체가 뚫린 것이 아니라 금고 비밀번호의 조합이 예상보다 단순하게 만들어져 공격자들의 표적이 된 셈이다. 코인카이트는 문제를 고친 긴급 업데이트를 진행한 상태다.

사전에 콜드카드의 취약성이 제기됐지만 제조사가 경고를 받아들이지 않았다는 의혹도 나왔다. 블록체인 개발자 제임스 오베인은 지난해 5월 코인카이트에 시드 구문을 만드는 코드가 의심스럽다며 의문을 제기했지만 회사가 이를 반영하지 않았다고 주장했다.

이번 사건은 인터넷과 분리된 오프라인 지갑이라도 처음부터 보안을 강화하지 않으면 자산을 보호할 수 없다는 점을 보여줬다. 에릭 발추나스 블룸버그 상장지수펀드(ETF) 분석가는 이번 사태를 계기로 대형 금융기관이 운용·수탁하는 비트코인 현물 ETF의 장점이 상대적으로 부각될 수 있다고 분석했다.

자오창펑 바이낸스 설립자는 "어떤 보안도 100% 안전하지 않다"며 "하드웨어 지갑에도 오류가 발생할 수 있는 만큼 자산을 여러 지갑에 나눠 보관하고 최신 보안 정보를 확인해야 한다"고 말했다.

chsn12@news1.kr