1억달러대 비트코인 탈취 겪은 콜드카드, 피싱 링크까지 등장

본문

콜드카드(COLDCARD)는 공식 X 계정에 피싱 링크 게시물이 올라왔다며 경위를 조사 중이고 해당 게시물은 삭제됐다고 밝혔다. [블록미디어 함지현 기자] 지난 7월 지갑 보안 결함으로 1억달러가 넘는 비트코인 탈취 사고를 겪은 하드웨어 지갑 제조사 콜드카드(COLDCARD)가 이번에는 공식 소셜미디어 계정을 통한 피싱 공격에 노출됐다. 콜드카드는 11일(현지시각) 공식 X 계정을 통해 “계정에서 피싱 링크가 포함된 게시물이 어떻게 올라왔는지 조사하고 있다”며 “해당 게시물은 현재 삭제됐다”고 밝혔다. 회사는 “이 계정은 2017년부터 접근 권한을 엄격히 제한하고 오프라인 이중인증(2FA)을 사용해 왔다”며 “X 측에 연락해 모든 계정 접근 기록을 검토하고 있다”고 설명했다.

COLDCARD’s only official website is This account has used offline 2FA with tightly restricted access since 2017.

이번 사고가 주목받는 이유는 콜드카드가 불과 두 달여 전 대규모 비트코인 탈취 사건을 겪었기 때문이다. 지난 7월30일부터 콜드카드 하드웨어 지갑의 시드(복구 문구) 생성 과정에 존재하던 보안 결함을 이용한 비트코인 탈취가 잇따라 발생했다. 디지털자산 운용사 갤럭시디지털의 리서치 부문이 지난달 14일 발표한 조사에 따르면 콜드카드 보안 결함과 관련해 8600개 이상의 주소에서 비트코인 1778.84개가 탈취된 것으로 확인됐다. 당시 가치로 약 1억1270만달러에 달하며 추가 의심 사례까지 포함하면 잠재적 피해 규모는 2417BTC를 넘어선다. 콜드카드 제조사 코인카이트(Coinkite)는 이후 결함을 수정한 펌웨어를 배포했지만, 기존에 취약한 방식으로 생성된 시드는 업데이트만으로 안전해지지 않는다고 경고했다. 다만 이번 X 계정 피싱 사건과 지난 7월 펌웨어 취약점 공격 사이에 직접적인 연관성이 있다는 증거는 확인되지 않았다.

피싱 링크를 통한 추가 자산 탈취 규모도 아직 공개되지 않았다.