콜드카드(Coldcard) 하드웨어 지갑의 저(低)엔트로피 결함이 7월 30일부터 실제 도난으로 이어지면서, 비트코인 보유자들이 주사위 굴리기 같은 물리적 엔트로피 방식으로 눈을 돌리고 있다. 2021년 3월 배포된 펌웨어 4.0.1부터 콜드카드가 STM32 하드웨어 난수생성기 대신 MicroPython의 Yasmarang PRNG를 사용한 것이 원인으로 지목됐으며, Mk2·Mk3는 약 40비트, Mk4·Mk5·Q는 약 70비트의 엔트로피만 생성해 안전한 12단어 시드에 필요한 128비트에 크게 못 미쳤다. 이후 공격자들이 개인키를 무차별 대입 방식으로 뚫어 1억 달러 이상의 BTC를 훔쳤다. 반면 주사위 100회 이상 굴리기나 시드워드 종이 추첨 같은 물리적 엔트로피로 시드를 생성한 사용자들은 피해를 면했다. 이는 하드웨어 지갑의 불투명한 내부 엔지니어링을 맹신하지 않고 직접 검증 가능한 방식으로 보안을 확보해야 한다는 비트코인 커뮤니티의 원칙을 다시 부각시킨 사례다.

• •콜드카드 폄웨어 4.0.1(2021년 3월~)이 하드웨어 난수생성기 대신 취약한 Yasmarang PRNG를 사용한 것이 원인
• •Mk2·Mk3는 약 40비트, Mk4·Mk5·Q는 약 70비트 엔트로피로 안전 기준 128비트에 미달
• •공격자들이 개인키를 무차별 대입으로 뚥어 1억 달러 이상의 BTC 탈취
• •주사위 100회 이상 또는 종이 추첨 등 물리적 엔트로피를 쓴 사용자는 피해를 밀다
• •'믿지 말고 검증하라'는 비트코인 컮뮤니티 원칙이 다시 부각됨