콜드월렛도 털렸다? 하드웨어 지갑 해킹 사태와 비트코인 보안 점검

먼저 밝히고 시작하겠습니다. 저는 하드웨어 지갑을 써 본 적이 없습니다. 코인은 그냥 거래소에 둡니다.

그런데도 이 기사에 손이 멈춘 이유가 있습니다. "인터넷에 안 붙어 있으니 안전하다." 하드웨어 지갑을 권하는 글에서 제일 많이 보는 문장이고, 저도 그 말이 그럴듯하다고 생각해 왔거든요. 랜선이 없는 물건을 해커가 어떻게 건드리겠습니까.

그런데 지난 7월 말 콜드카드(Coldcard)라는 하드웨어 지갑에서 1억 달러가 넘는 비트코인이 빠져나갔습니다. 기기를 훔쳐간 것도, 사용자가 이상한 링크를 누른 것도 아니었습니다. 오늘은 무슨 일이 있었는지, 왜 펌웨어를 새로 올려도 소용이 없는지, 지금 지갑을 가지고 계신 분은 무엇을 확인해야 하는지 정리해 드립니다. 2026년 8월 기준입니다.

1. 나흘 동안 네 차례, 1,816 비트코인이 사라졌습니다

7월 30일에 시작됐습니다. 블록체인 분석업체 TRM랩스와 포춘 보도를 종합하면 물결은 네 번 왔습니다.

• 1차: 41분 만에 약 1,083 BTC (약 7,020만 달러)
• 2차: 25분 만에 약 594 BTC (약 3,800만 달러)
• 3차: 금요일 낮부터 토요일 새벽 사이 208 BTC
• 4차: 월요일 새벽에 탐지

합치면 약 1,816 BTC, 1억 1,600만 달러가 5,200개 넘는 주소에서 빠져나갔습니다. TRM랩스는 이것을 올해 세 번째로 큰 가상자산 해킹으로 분류했고, 2026년 들어 276건의 사고로 12억 달러 넘게 털렸다는 집계도 함께 내놨습니다.

숫자를 보다가 잠깐 멈칫했습니다. 나흘이면 회사에서 보고서 하나 겨우 마무리하는 시간입니다.

외신 인터뷰에 실린 피해자의 말 한 줄이 계속 걸립니다. "나는 시키는 대로 다 했다." 거래소에 안 맡겼고, 오프라인 기기를 샀고, 복구문구를 종이에 적어 따로 보관했습니다. 교과서대로 한 사람이 털렸습니다. 그럼 교과서가 틀린 걸까요, 아니면 교과서에 안 적힌 장이 있었던 걸까요.

2. 범인은 해커가 아니라 5년 전의 설정 오류였습니다

여기서부터가 진짜 이야기입니다.

2021년 3월에 배포된 펌웨어 4.0.1 버전에 빌드 설정 오류가 하나 있었습니다. 원래 이 기기는 칩에 들어 있는 하드웨어 난수생성기로 지갑 시드를 만들게 되어 있었습니다. 그런데 일부 기기가 그걸 놔두고 약한 소프트웨어 난수생성기로 넘어갔습니다. 쉽게 말해 진짜 주사위 대신 '주사위 흉내를 내는 계산기'를 쓴 셈입니다.

결과가 뼈아픕니다. 128비트로 설계된 키 강도가 취약한 기기에서는 최소 40비트 수준까지 떨어졌습니다. 40비트면 요즘 컴퓨터로 무차별 대입이 가능한 영역입니다. 기기를 만질 필요도 없었습니다. 지갑 주소만 보고 뒤에서 열쇠를 깎아낸 것입니다.

5년이나 아무도 몰랐다는 게 더 무섭습니다. 콜드카드는 오픈소스에 감사도 받는 제품이었습니다. 그런데도 이 오류는 5년을 살아남았습니다. '오픈소스니까 여러 눈이 보겠지'라는 말은 널리 퍼져 있지만, 여러 눈이 본다는 것이 반드시 그 눈들이 그 줄을 봤다는 뜻은 아니었습니다.

펌웨어를 새로 올려도 소용없는 이유

제조사 코인카이트는 첫 공격 다음 날인 7월 31일 긴급 펌웨어를 배포했습니다. 그런데 이게 이번 사태에서 제일 잔인한 대목입니다.

펌웨어 업데이트는 앞으로 만들 지갑만 고칩니다. 이미 약한 난수로 만들어진 시드는 못 고칩니다. 이미 뽑아놓은 복권 번호를 나중에 바꿀 수 없는 것과 같습니다. 2021년 3월부터 이번 패치 전까지 콜드카드에서 시드를 만든 사람은 그 시드를 이미 노출된 것으로 봐야 합니다. 새 시드를 새로 만들고, 소액으로 시험 송금을 한 번 해본 뒤 자산을 옮기라는 게 전문가들의 권고입니다.

5년을 버틴 결함, 찾는 데는 8분 걸렸다는 이야기

이 대목은 제가 좀 조심스럽게 적겠습니다.

가상자산 전문매체 파뉴스(PANews) 보도에 따르면, 이 결함을 찾아낸 것은 보안 회사가 아니라 레딧 커뮤니티의 개발자들이었고, 그들이 쓴 도구는 AI였습니다. 오픈소스로 공개돼 있던 펌웨어 코드를 AI에 넣어 훑게 했더니 8분 만에 그 난수 논리 결함을 짚어냈다는 것입니다. 커뮤니티는 다른 AI 모델 두 개로 교차 검증까지 했다고 합니다.

다만 저는 이 대목의 원 출처인 레딧 게시물을 직접 확인하지는 못했습니다. 그래서 사실로 단정하지 않고 '그런 보도가 있다'까지만 적습니다.

그럼에도 이 이야기를 빼지 않는 이유는, 사실이라면 방향이 뒤집히기 때문입니다. 지금까지 오픈소스의 안전 논리는 '여러 사람이 들여다보니 결국 발견된다'였습니다. 그런데 5년 동안 사람 눈으로 못 찾은 것을 기계가 8분 만에 찾았다면, 앞으로 남아 있는 다른 제품의 묵은 결함들도 같은 방식으로 줄줄이 나올 수 있습니다. 문제는 그 도구를 지키는 쪽만 쓰는 게 아니라는 점입니다.

짚고 넘어갈 점

훔친 돈이 도망가는 모습도 묘했습니다. 대부분은 몇 개 주소에 그대로 고여 있고, 8월 4일에 64.9 BTC를 와사비로, 200 ETH를 토네이도캐시로 보낸 정도가 거의 전부입니다. 그 사이 도둑 지갑에는 온체인 메시지(OP_RETURN)로 "수수료 10%면 세탁해주겠다"는 제안까지 붙었습니다. 남의 사고가 누군가에게는 영업 기회인 셈입니다.

3. "내 돈은 내가 지킨다"의 뒷면

자기 지갑에 직접 보관하라는 말은 이 바닥에서 거의 신앙에 가깝습니다. 거래소는 망하기도 하고 막히기도 하니 내 손에 쥐라는 것입니다.

이번 일이 알려준 건 그 말이 틀렸다는 게 아닙니다. 위험이 사라지는 게 아니라 옮겨간다는 것입니다. 거래소에 두면 거래소 사고 위험을, 하드웨어 지갑에 두면 기기 제조사의 펌웨어와 난수 생성 과정을 믿는 위험을 집니다. 어느 쪽이든 결국은 누군가를 믿는 일입니다. 자기 보관은 그 신뢰의 주소를 바꿀 뿐입니다.

업계가 내놓은 답은 "하나에 몰지 마라"입니다

국내 보도에서도 같은 결론이 나왔습니다. 이데일리 마켓인은 이 사태를 「단일 콜드월렛 시대 끝났다」는 제목으로 전하면서, 비투닉스 애널리스트 딘 첸의 권고를 실었습니다. 멀티시그 지갑, 기관급 MPC 기술, 오프라인 개인키 생성, 개인키 조각을 지역별로 나눠 보관하기, 필요하면 공인 수탁기관 활용. 그가 강조한 핵심은 한 줄이었습니다. "단일 실패 지점을 제거하는 것."

인정할 것은 인정하겠습니다

말은 맞습니다. 다만 저는 그것이 모두에게 현실적인 답인지 잘 모르겠습니다. 멀티시그는 설정하다 실수하면 해킹당하기 전에 본인이 자기 돈을 못 찾습니다. MPC니 수탁기관이니 하는 것들은 애초에 개인을 상대로 만들어진 물건도 아닙니다. 쉰 넘어 퇴근하고 그걸 붙들고 있을 체력이 되느냐도 별개 문제고요.

그래서 저 같은 사람에게 남는 결론은 좀 싱겁습니다. 감당 못 할 방식을 억지로 쓰는 것보다, 지금 쓰는 방식의 약점이 뭔지 아는 편이 낫다는 것입니다.

솔직히 말해서, 업계나 전문가들이 말하는 해결책을 들으면 숨이 턱 막힙니다.

다들 '멀티시그 써라', '개인키 조각내서 나눠 보관해라' 쉽게 말하는데, 이건 일반 코인 투자자들 현실을 전혀 모르는 소리입니다. 코인 조금 사둔 보통 사람이 키 조각내서 외딴곳에 나눠 숨겨두면, 해커한테 털리기 전에 본인이 비번 잃어버려서 평생 못 찾을 확률이 99%입니다. 보안 높인답시고 복잡하게 만들수록 결국 자기 발등을 자기가 찍는 아이러니에 빠지는 거죠.

또 하나, AI가 8분 만에 결함을 찾았다는 소식을 듣고 다들 'AI 보안이 대단하다'고 감탄하지만, 저는 솔직히 소름부터 돋았습니다. 해커들도 똑같이 AI를 돌리고 있을 테니까요. 세상에 오픈소스로 공개된 지갑 코드나 스마트 컨트랙트가 수천 개인데, 해커가 AI 며칠만 풀가동해서 취약점 싹 훑어내고 기습 공격하면 당할 재간이 있겠습니까? 보안 도구가 고급화된 만큼 해커의 칼날도 훨씬 날카로워진 셈입니다.

결국 '내 돈은 내가 지킨다'는 건 멋진 구호일 뿐, 현실은 거래소를 믿든, 지갑 제조사를 믿든 누군가의 코드를 맹신해야 하는 한계가 있습니다. 아무리 비싼 하드웨어 지갑이라도 100% 안전한 성벽은 없다는 걸 인정하는 게 이 판에서 살아남는 최소한의 안전장치입니다.

돈이 어디로 움직였는지는 기록으로 남았습니다. 8월 7일까지 한 주 동안 미국 비트코인 현물 ETF에 8억 5,354만 달러가 들어왔고, 이는 4월 17일 이후 최대였습니다. 규제받는 상품으로 피신했다는 해석이 붙었습니다. 다만 해당 보도조차 인과를 단정하지는 않습니다. 털린 지갑에서 ETF로 돈이 흘러간 경로를 추적한 사람은 없고, 같은 기간 이더리움 ETF에도 자금이 들어왔기 때문입니다. 사람들이 어디로 움직였는지의 기록일 뿐, 그게 정답이라는 말은 아닙니다.

4. 지갑을 가지고 계시다면 오늘 확인할 것

거창한 보안 기술이 아니라, 오늘 저녁에 30분이면 되는 일들입니다.

1. 제품 이름과 '펌웨어 공지'를 함께 검색해 봅니다. 내 모델과 구입 시기가 이번 건에 해당하는지부터 확인합니다.
2. 제조사 공식 사이트의 공지 페이지를 즐겨찾기에 넣습니다. 커뮤니티 요약이 아니라 원문이 기준입니다.
3. 시드를 언제 어느 기기에서 만들었는지 적어둡니다. 이번처럼 '언제 만든 시드인가'가 기준이 되는 사고가 또 나올 수 있습니다.
4. 큰 금액을 옮길 일이 있으면 소액으로 시험 송금을 먼저 합니다.

짚고 넘어갈 점

기기를 사는 건 하루면 됩니다. 그 기기가 어떤 과정으로 열쇠를 만드는지 아는 건 하루로 끝나지 않습니다. 서랍에 넣어두는 것으로 공부를 대신하기 쉬운데, 이번 사고에서 털린 분들 중에도 그런 경우가 적지 않았을 겁니다.

안전은 물건이 아니라 관리 습관에서 나옵니다

이 글을 정리하면서 제일 불편했던 대목은 피해 규모가 아니었습니다. 시키는 대로 했는데 털렸다는 문장이었습니다.

보안을 물건 하나로 해결하려는 접근에는 한계가 있습니다. 기기는 사는 순간 끝나지만, 그 기기를 만든 회사의 공지를 가끔 들여다보는 일은 끝나지 않습니다. 저 역시 이 판의 기술적 세부를 다 이해하지 못합니다. 다만 이번 일에서 확인된 사실 하나는 분명합니다. 5년 묵은 코드 한 줄이 오프라인 기기를 온라인만큼 위험하게 만들 수 있다는 것입니다.

지금 서랍이나 금고에 뭔가 넣어두신 분이 계시다면, 오늘 저녁에 그 제품 이름과 '펌웨어 공지'를 한 번쯤 검색해 보시길 권합니다. 별일 없으면 다행이고, 별일 있으면 오늘 안 것이 낫습니다.

참고자료

• TRM Labs, 「The Largest Hardware Wallet Exploit of 2026: Inside the USD 116 Million Coldcard Hack」, 2026년 8월 5일
• Fortune, 「Bitcoin owners rocked by $116 million hack: What we know about the Coldcard exploit」, 2026년 8월 3일
• 이데일리 마켓인, 「하드웨어 지갑 취약성 노출…"단일 콜드월렛 시대 끝났다"」, 2026년 8월 5일
• Bitcoin.com News, 「Coldcard Hacker Gets Brazen Bitcoin Laundering Offer Onchain」, 2026년 8월 2일
• PANews, 「AI 8분 만에 5년 된 취약점 발견, Coldcard 도난으로 콜드월렛 신뢰 위기」
• 24/7 Wall St., 「Bitcoin ETFs Are Having Their Best Week Since April」, 2026년 8월 8일

※ 피해 규모는 조사가 진행 중이라 집계 기관과 시점에 따라 달라질 수 있습니다. 매체에 따라 1억 1,500만~1억 2,000만 달러로 조금씩 다르게 나옵니다. 위 숫자는 2026년 8월 초 기준입니다.

※ 이 글은 공개된 기사와 분석 자료를 읽고 정리한 개인 기록이며, 특정 제품이나 자산을 사거나 팔라는 뜻이 아닙니다. 보안 조치는 각자의 상황에 따라 다르니 최종 판단은 직접 하시기 바랍니다. 자세한 안내는 「블로그 소개 및 운영 원칙」을 참고해 주세요.