- 연구진은 1,140 만 달러 규모의 콜드카드 지갑 유출 사건의 원인이 된 결함 있는 난수 생성 코드가 Coinkite 공동 설립자 피터 그레이에게서 비롯되었음을 추적했습니다.
- 개발자 제임스 O'Beirne 은 2025 년 5 월에 이 결함을 Coinkite 에 경고했다고 밝혔습니다.
- 이번 악용은 7 월 30 일 이후 네 차례의 파동으로 총 5,200 개 이상의 주소에 영향을 미쳤습니다.
연구자들은 Coldcard 지갑 침해의 중심에 있는 결함이 있는 무작위성 코드가 Coinkite 공동 설립자이자 CTO인 피터 그레이와 연결되었다고 밝혔습니다. 비트코인 개발자 제임스 오베른은 그레이가 2025년 5월 결함에 대한 경고를 무시했다고 말합니다.
이 익스플로잇은 이제 5,200개 이상의 비트코인 주소에서 약 1억 1,400만 달러를 탈취했으며, Coinkite는 여전히 진행 중이라고 말합니다.
한 사람을 가리키는 GPG 서명
버그가 있는 라이브러리인 libngu는 Switch라는 익명 계정 아래 GitHub에 게시되었습니다. An 분석 은 비트코인 개발자 제임스 오베른이 8월 4일 게시하여 계정이 그레이의 것임을 보여주는 암호학적 증거를 제시했습니다.
오베른의 글은 GPG 커밋 서명에 기반합니다. 분석에 따르면, “Switck”으로 작성된 58개의 커밋이 그레이의 개인 키에서 유효한 서명을 가지고 있으며, 이 키는 동일한 저장소에서 Peter D. Gray라는 이름으로 그의 커밋에 서명하는 키와 동일합니다.
반면 Switch 계정은 자체 키를 업로드하지 않았습니다. 분석은 두 신원이 한 사람임이 암호학적으로 증명되었다고 명시합니다.
이 연결은 중요합니다. 오베른의 분석에 따르면 Coldcard의 생산 펌웨어는 libngu를 의존성으로 가져오며, 이는 보안 회사 Wizardsardine의 발견인 라이브러리가 취약성에 관여한 3개의 저장소 중 하나임을 인용합니다.
5월 보고서 2025, 아무런進展 없이
오베른은 위험을 2025년 5월 Coldcard 펌웨어를 감사하는 동안 1년 이상 전에 지적했습니다.
그는 지갑이 무작위성을 어디에서 가져오는지 확인하고 libngu로 추적한 후, 당시 Coinkite에 가능한 결함에 대해 알렸다고 말했습니다.
“이 사람은 2025년 5월 제 결함 가능성 보고서를 무시한 바로 그 사람입니다,”라고 오베른은 그레이를 지칭하며 썼습니다. 그는 그 교환에 대한 전체 이야기를 아직 말하지 않았다고 덧붙였습니다.
Coinkite는 아직 보고서의 신원 주장에 응답하지 않았습니다.
2021의 한 커밋, 5년 동안 unnoticed
Block의 비트코인 엔지니어링 및 보안 팀은 이를 2021년 3월 1일자로 날짜가 찍힌 커밋으로 추적했으며, 이 커밋은 Coldcard가 지갑 시드를 구축하는 방식을 변경했습니다. 이 변경은 장치의 하드웨어 무작위 수 생성기에서 데이터를 가져오는 호출을 MicroPython의 소프트웨어 무작위화기로 떨어지는 호출로 교체했습니다.
이 실수는 단일 전처리 검사에 숨어 있었습니다. 펌웨어 버전 4.0.0은 2021년 3월 17일 결함과 함께 출시되었습니다.
시드는 엔트로피가 너무 적게 구축되었으므로 공격자는 장치를 건드리지 않고도 오프라인에서 시드를 재생성하여 자금을 탈취할 수 있었습니다. 절도 사건 중에는 탈취된 하드웨어, 피싱 또는 멀웨어가 관여한 사례가 없습니다.
Coinkite, 소유자에게 자금 이체 권고
Coinkite는 사용자에게 긴급 조치를 취하도록 요청했습니다. “이것을 긴급하게 처리하십시오. 자금을 이전하십시오,”라고 회사는 게시했으며, 익스플로잇이 여전히 진행 중임을 확인하고 “온라인 활동이 적은” 다른 소유자에게 알릴 것을 요청했습니다.
모든 지갑이 노출된 것은 아닙니다. 보고에 따르면 펌웨어 4.0.1 이상으로 설정된 Mk3 장치는 위험에 노출되어 있는 반면, 펌웨어 5.6.0 또는 1.5.0Q 미만에서 실행되는 Mk4, Mk5 및 Q 소유자는 업데이트하고, 새 시드를 생성하며, 코인을 이동해야 합니다.
사용자가 최소 50회의 물리적 굴림을 입력하는 장치의 주사위 굴리기 옵션으로 구축된 지갑은 결함이 있는 경로를 실행하지 않았으며 안전한 것으로 간주됩니다. 강력한 BIP-39 암호구문과 Coldcard 키가 여러 서명자 중 하나에 불과한 멀티시그 설정도 견고했습니다.
4단계에 걸쳐 $114 백만 근처 손실
The 절도는물결처럼 발생했습니다. 7월 30일 첫 번째 물결은 41분 이내에 1,196개 주소에서 약 1,083 BTC를 이동했으며, 가치는 약 7,000만 달러였습니다. 5일 동안 세 번의 추가 물결이 이어졌으며, Galaxy Research는 8월 3일 초 네 번째 물결을 계산하여 총계를 약 1,816 BTC로 늘렸습니다.
일부 보고서 는 prevailing 가격에서 가치가 약 1억 1,600만 달러에 가깝다고 하는 반면, 다른 보고서는 1억 1,400만 달러를 인용합니다.
비트코인 자체 거의 움직이지 않았습니다, 8월 4일 미국 시간 중 거래 가격은 약 63,800달러 근처였습니다. 경쟁 지갑 제조사 Ledger의 사이버 보안 전문가 빈센트 부존은 이 사건을 “자기 custodia에 대한 판결이 아니라 하나의 구현 실패”라고 밝히며, 엔트로피는 “보안 하드웨어에 기반해야 한다”고 덧붙였습니다.
이 글을 읽고 계신다면, 이미 앞서 나가고 있습니다. 뉴스레터로 그 위치를 유지하세요.
자주 묻는 질문
콜드카드 악용 사건의 배후에는 누가 코드를 작성했습니까?
비트코인 개발자 제임스 O'Beirne 의 분석에 따르면, 약한 시드를 생성한 libngu 라이브러리의 저자인 익명 계정 `switck` 는 GPG 서명을 통해 Coinkite CTO 피터 그레이의 개인 키로 커밋된 기록을 바탕으로 피터 그레이本人일 가능성이 높습니다.
콜드카드 해킹 사건에서 얼마나 많은 비트코인이 탈취되었습니까?
Galaxy Research 에 따르면 7 월 30 일 이후 네 차례의 파동으로 5,200 개 이상의 주소에서 약 1,816 BTC 가 유출되었으며, 이는 1.14 억 달러에서 1.16 억 달러 상당입니다.
어떤 콜드카드 지갑이 이번 악용으로부터 안전한가요?
장치의 주사위 굴림 옵션을 사용하여 최소 50 회 이상 굴려 생성된 지갑, 강력한 BIP-39 패스프레이즈로 보호된 지갑, 그리고 콜드카드 키가 여러 서명자 중 하나만 포함된 멀티시그 설정은 영향을 받지 않았습니다.
면책 조항. 제공된 정보는 투자 조언이 아닙니다. Cryptopolitan.com은 이 페이지에 제공된 정보를 기반으로 이루어진 모든 투자에 대해 책임을 지지 않습니다. 어떤 투자 결정을 내리기 전에 독립적인 조사나 자격을 갖춘 전문가와의 상담을 강력히 권장합니다.
한나 콜리모어
한나는 암호화폐 분야에서 거의 10년 간의 블로그 작성 및 이벤트 리포팅 경험을 가진 작가이자 편집자입니다. 크립토폴리탄에서 한나는 뉴스 페이지에 기여하며 DeFi, RWA, 암호화폐 규제, AI 및 프론티어 테크 산업의 최신 동향을 보도하고 분석합니다. 그녀는 아카디아 대학교에서 경영학 학위를 취득했습니다.
