콜드카드(Coldcard) 하드웨어 지갑에서 발견된 엔트로피(난수 생성) 결함으로 지난 7월 31일 이후 공격자들이 최소 1,596 BTC(1억 달러 이상)를 탈취한 것으로 갤럭시 디지털 연구진이 밝혔다. 결함은 2021년 펌웨어 변경 과정에서 하드웨어 난수 생성기 연동 코드가 오히려 이를 비활성화해 더 약한 소프트웨어 기반 난수 생성기로 대체되면서 5년 넘게 발견되지 않은 것으로 추정된다. 레저는 인증된 보안 요소 기반 하드웨어 난수 생성기를, 트레저는 기기·호스트 복수 소스를 결합한 방식을, 파운데이션은 오픈소스·재현 가능한 빌드를 통한 투명성을 각각 강조하며 이번 사고가 자사 설계와는 무관하다는 입장이다. 전문가들은 이번 사고가 특정 제품의 구현 결함이지 자가보관 전체의 실패는 아니라면서도, 단일 기기·벤더에 의존하지 않는 멀티시그와 독립적 엔트로피 생성 구조를 채택할 것을 권고했다.

• •콜드카드의 엔트로피 결함으로 7월 31일 이후 최소 1,596 BTC(1억 달러 이상)가 탈취됐다.
• •결함은 2021년 펌웨어 변경 시 하드웨어 난수 생성기가 비활성화되어 약한 소프트웨어 난수 생성기로 대체된 것이 원인으로 추정된다.
• •레저·트레저·파운데이션은 각각 인증 하드웨어, 복수 엔트로피 소스, 오픈소스 투명성으로 자사 설계의 안전성을 강조했다.
• •약한 난수 생성은 검출이 어려워 과거 블록체인닷컴 안드로이드 지갑, 트러스트월릿 등에서도 발생한 바 있다.
• •전문가들은 단일 기기·벤더 실패로 자금이 유출되지 않도록 멀티시그와 독립적 엔트로피 구조를 권고했다.