콜드카드 공식 X에 가짜 '긴급 보안 공지'…"로그인 기록 없다"

"피싱 링크가 담긴 글이 어떻게 이 계정에서 올라갔는지 조사하고 있다." 비트코인 전용 하드웨어 지갑 콜드카드(COLDCARD)가 11일 오후 2시 46분(한국시간) 공식 X 계정에 올린 공지다. 몇 시간 전 같은 계정에 '긴급 보안 업데이트'를 내건 가짜 글이 올라왔고, 회사는 이를 지운 뒤 링크를 열지 말라고 당부했다. 콜드카드는 공식 웹사이트는 coldcard.com 하나뿐이라고 밝혔다.

콜드카드는 지난 7월 시드(복구 문구) 생성 결함이 드러나 비트코인 1억 달러어치 넘게 도난당한 지갑이다. 당시 회사는 결함 있는 펌웨어로 만든 시드를 새 시드로 옮기라고 공지했고, 이번 가짜 글도 같은 '이전' 안내 형식을 띠었다.

석 달 전 해킹에서 가짜 공지까지

1. 7월 30일공격자가 결함 있는 시드로 만든 지갑을 털기 시작했다. 블록체인 분석 업체 TRM랩스에 따르면 첫 25분 동안 약 500개 지갑에서 비트코인 약 594개가 빠져나갔다.
2. 7월 30일콜드카드 제조사 코인카이트가 보안 권고를 내고 해당 펌웨어로 만든 시드는 새 시드로 옮기라고 안내했다(8월 1일 갱신).
3. 8월 5일TRM랩스는 갤럭시 리서치 집계를 인용해 피해가 약 1,816개, 약 1억1,600만 달러, 주소 5,200여 개로 늘었다고 밝혔다.
4. 10월 11일 낮콜드카드 공식 X에 '새로운 치명적 취약점' 글이 올라왔다가 삭제됐다.
5. 10월 11일 14시 46분콜드카드가 조사 중이라는 공지를 올렸다.
6. 10월 11일 15시 7분콜드카드가 X 고객지원 계정에 긴급 조사를 공개 요청했다.

시각은 한국시간 기준이며, 7~8월 날짜는 각 발표 기준이다.

고친 펌웨어를 '위험 버전'으로 뒤집었다

콜드카드가 조사 공지에 첨부한 가짜 글 화면을 보면, 글은 "새 콜드카드 펌웨어에서 시드 생성에 영향을 주는 새로운 치명적 취약점을 찾았다"며 해당 버전에서 시드를 만들었다면 지금 바로 자산을 옮기라고 했다. 안내 주소는 migrate.coldcardwallet.io로, 공식 주소와 비슷하게 꾸몄다.

글이 '확인할 버전'으로 든 것은 Mk4·Mk5 5.6.0 이상, Q 1.5.0Q 이상, Mk2·Mk3 4.2.0 이상이었다. 코인카이트 공식 권고에서 이 번호들은 7월 결함을 고친 버전이다. 가짜 글은 "이전 권고와는 별개의 발견"이라며 이미 펌웨어를 올렸거나 지갑을 옮긴 사람도 새 안내를 보고 추가 조치가 필요한지 확인하라고 적었다.

"피싱 글이 계정에 올라왔지만 그에 맞는 로그인, 세션, 접근 기록을 찾을 수 없다. 우리 계정 정보와 오프라인 이중 인증은 안전하다."

콜드카드 공식 X (X 고객지원 계정에 보낸 글)

"로그인 흔적이 없다"는 주장

콜드카드는 이 계정이 2017년부터 오프라인 이중 인증과 엄격하게 제한된 접근 방식을 써 왔다고 밝혔다. 회사는 X 고객지원 계정에 보낸 글에서 이번 일이 플랫폼 차원 또는 관리자 권한을 통한 무단 접근일 수 있다는 우려를 제기했다. 모든 계정 접근 권한을 다시 점검하고 있으며, 확인된 내용이 나오면 추가로 알리겠다고 했다.

가짜 글을 보고 자금을 옮긴 피해가 있었는지는 아직 알려지지 않았다. 계정에 글이 올라간 경위도 확인되지 않았다.

진짜 권고는 그대로다

코인카이트 공식 권고에 따르면 7월 결함은 Mk2·Mk3 펌웨어 4.0.1~4.1.9, Mk4·Mk5 표준판 5.6.0 이전, Q 표준판 1.5.0Q 이전 등에서 만든 시드에 해당한다. 펌웨어를 올려도 이미 만든 시드는 고쳐지지 않아 새 시드로 옮겨야 하고, 주사위를 50번 이상 따로 굴려 만든 시드는 예외다. 권고는 "콜드카드 기기 자체가 해킹되거나 원격으로 장악된 것은 아니다"라고 밝히며, 새 지갑으로 소액을 먼저 보내 확인한 뒤 전액을 옮기고, 패스프레이즈를 웹사이트에 입력하지 말라고 안내한다.

하드웨어 지갑 쪽 사고는 이달 들어 잇따르고 있다. 레저는 11일 새벽 동남아 판매처 크립토빌리스를 거쳐 팔린 피해자 기기 한 대에서 무단 부품을 확인했다고 밝혔다. 비트코인은 12일 오전 7시 33분 업비트에서 1억1,335만2천 원에 거래됐다.