갤럭시: 콜드카드 피해 1,778 BTC…‘공격 중단 ≠ 피해 종료’

하드웨어 지갑이 ‘끝판왕’이라는 생각은 흔합니다. 그런데 최근 콜드카드(Coldcard) 관련 피해 집계가 다시 업데이트되면서, 셀프커스터디도 단일 실패점이 있으면 무너질 수 있다는 점이 다시 드러났습니다. 이번 정리는 “공격이 멈춘 것 같다”는 문장과 “내 자산 구조가 안전한가”를 섞어 읽지 않게 하려는 목적입니다.

무엇이 새로 정리됐나

갤럭시 리서치 쪽 업데이트에 따르면, 취약한 콜드카드에서 시드가 재현되며 자금이 빠져나간 사례가 확인됐고, 확인분만 약 1,778 BTC 규모입니다. 미확정 사례까지 합치면 더 커질 수 있다는 추정도 함께 나왔습니다. 동시에, 확인된 공격 체인은 8월 6일 이후로는 멈춘 것으로 보인다고 정리됐습니다.

피해자들이 대개 의심스러운 디파이·고수익 상품을 쫓던 쪽이 아니라, 오히려 하드웨어 지갑으로 장기 보관을 택한 사용자군이었다는 점도 충격을 키웠습니다. 즉 ‘거래소만 위험하다’는 이분법이 깨진 사건입니다.

왜 ‘중단 ≠ 피해 종료’인가

• 원인: 수년 전 펌웨어 쪽 엔트로피(난수) 생성 문제로, 일부 장치가 충분한 무작위를 쓰지 못했다는 설명입니다.
• 한계: 펌웨어를 고쳐도, 이미 약한 시드로 만들어진 키는 그대로입니다. ‘업데이트 = 복구’가 아닙니다.
• 행동: 해당 계열 단일서명 지갑에 자산이 남아 있다면, 새(정상) 시드로 만든 주소로 옮기는 쪽이 권고의 핵심입니다.
• 멀티시그: 확인된 도난 주소에는 멀티시그가 없었다는 점이 강조됐습니다. 한 기기·한 시드에만 기대는 구조의 리스크를 다시 보게 합니다.
• 시장 반응: 사건 이후 거래소로 소액 입금이 늘었다는 온체인 관찰도 나왔습니다. 공포성 이전과 매도를 구분하려면, 본인이 ‘왜 옮기는지’를 먼저 적어두세요.

초보 체크리스트

• □ 사용 중인 하드웨어 지갑 모델·펌웨어·시드 생성 시점을 메모로 남겨 두었는가
• □ ‘업데이트만 하면 끝’이라고 단정하지 않았는가
• □ 단일서명만 쓰는지, 멀티시그·분산 백업이 필요한 규모인지 점검했는가
• □ 피싱 링크·가짜 지원 채널에 시드를 입력하지 않는가
• □ 급하게 거래소로 몰아넣기 전에, 이전 목적(보안 vs 매도)을 분명히 했는가

거래소에서 시작해보기

보안 점검을 마친 뒤 거래·입출금을 다시 정리할 때는, 신뢰할 수 있는 거래소에서 절차를 천천히 확인하는 편이 낫습니다. 레버리지로 ‘보안 뉴스’를 추격하기보다, 보관·이체·인증 설정을 먼저 점검하세요.

바이낸스 가입하기 →

관련 글

• 콜드카드 뒤 ETF 6억 달러…‘유입 = 셀프커스터디 이탈’은 아직이다
• 비트코인 6.4만·ETF 1.7억 유입…콜드카드 위협은 아직 ‘진행 중’
• BTCPay 라이트닝이 털렸다고?…초보의 ‘패치 ≠ 자격증명 교체’ 체크리스트

본 글은 정보 제공 목적이며, 특정 자산·거래소·보관 방식에 대한 투자 권유나 재무 자문이 아닙니다. 암호화폐는 원금 손실 위험이 큽니다.