콜드월렛 해킹, 콜드카드 피해 원인과 대응 방법
콜드월렛은 개인키를 인터넷과 분리해 보관함으로써 온라인 해킹 위험을 낮추는 수단이지만, 모든 가상자산해킹을 막아주는 것은 아닙니다.
최근 비트코인 하드웨어 지갑인 콜드카드의 일부 펌웨어에서 복구문구 생성 방식의 취약점이 확인되면서, 실제 기기에 직접 접근하지 않고도 개인키가 재구성될 수 있다는 우려가 제기됐습니다.
영향 가능성이 있는 이용자는 펌웨어를 업데이트하는 데 그쳐서는 안 됩니다. 수정된 환경에서 새로운 복구문구와 지갑을 생성하고, 기존 자산을 새로운 주소로 이전해야 합니다.
이미 코인해킹 피해가 발생했다면 기기를 초기화하기 전에 지갑 주소와 TXID, 출금 내역, 펌웨어와 기기 정보를 보전하는 것이 우선입니다.
[목차]
1. 콜드카드 피해의 발생 원인2. 콜드월렛의 해킹 가능성과 주요 위험
3. 콜드카드 이용자의 확인사항
4. 코인해킹 피해 발생 시 대응 방법
5. 형사책임과 피해 회복 가능성
6. 자주 묻는 질문(FAQ)
7. 정리 및 유의사항
1. 콜드카드 피해의 발생 원인
콜드카드는 비트코인의 개인키를 인터넷과 분리된 기기에 보관하고, 거래가 필요할 때 해당 기기에서 전자서명을 하는 하드웨어 지갑입니다.
이번 피해는 비트코인 네트워크 자체가 해킹된 것이 아니라, 일부 콜드카드 펌웨어에서 지갑의 복구문구를 생성하는 방식에 문제가 있었던 사례로 분석되고 있습니다.
복구문구는 하드웨어 지갑을 잃어버리거나 기기가 고장 났을 때 동일한 지갑을 다시 불러올 수 있는 핵심 정보입니다. 이를 확보하면 실제 콜드카드 기기가 없어도 다른 기기나 지갑 프로그램에서 동일한 개인키를 복원할 수 있습니다.
국내 보도에 따르면 특정 펌웨어에서는 충분히 예측하기 어려운 난수 대신 상대적으로 예측 가능성이 있는 방식으로 시드가 생성됐고 공격자는 이를 이용해 개인키를 재구성한 것으로 분석됩니다.
제조사도 긴급 펌웨어 업데이트와 함께 새로운 복구문구를 생성해 자산을 옮기도록 안내한 것으로 전해졌습니다.
2. 콜드월렛의 해킹 가능성과 주요 위험
콜드월렛은 온라인 공격 가능성을 줄여주지만, 모든 보안 위험을 제거하는 수단은 아닙니다.
인터넷에 연결하지 않은 기기라도 복구문구가 취약하게 생성됐거나 외부에 유출됐다면 자산이 탈취될 수 있습니다.
중고 또는 비공식 판매처에서 구입한 기기가 변조됐거나, 이용자가 피싱 사이트에 복구문구를 입력한 경우에도 피해가 발생할 수 있습니다.
| 위험 유형 | 문제가 될 수 있는 상황 | 확인할 사항 |
|---|---|---|
| 복구문구 생성 결함 | 취약한 펌웨어에서 지갑 생성 | 생성 시기와 당시 펌웨어 |
| 복구문구 유출 | 사진·이메일·클라우드에 저장 | 온라인 저장·전송 여부 |
| 피싱 | 가짜 사이트에 복구문구 입력 | 접속 주소와 입력 기록 |
| 기기 변조 | 중고·비공식 판매처에서 구매 | 구매처와 포장 상태 |
| 악성 프로그램 | 송금 주소가 다른 주소로 변경 | 사용한 컴퓨터와 프로그램 |
이번 콜드카드 사건은 이 가운데 복구문구 생성 과정의 취약점이 문제 된 사례입니다.
다만 이번 사건과 무관한 콜드월렛이라도 복구문구를 휴대전화로 촬영하거나 온라인에 저장했다면 별도의 유출 위험이 존재합니다.
3. 콜드카드 이용자의 확인사항
콜드카드 이용자는 현재 설치된 펌웨어뿐만 아니라 복구문구를 처음 생성했을 당시의 기기와 펌웨어를 확인해야 합니다.
현재 펌웨어를 최신 버전으로 업데이트했더라도 과거에 만들어진 복구문구와 개인키가 자동으로 변경되는 것은 아닙니다.
🔹펌웨어 업데이트만으로는 충분하지 않을 수 있습니다
영향 가능성이 있는 이용자는 공식 경로를 통해 수정된 펌웨어를 설치하고, 완전히 새로운 복구문구를 생성해야 합니다.
권장되는 확인 순서는 다음과 같습니다.
2) 복구문구를 생성한 시기와 당시 펌웨어를 확인합니다.
3) 제조사의 공식 경로에서 수정된 펌웨어를 설치합니다.
4) 기존 복구문구를 불러오지 않고 새로운 복구문구를 생성합니다.
5) 새로운 지갑 주소로 소액을 먼저 전송합니다.
6) 정상 수신을 확인한 뒤 나머지 자산을 이전합니다.
🔹기존 복구문구를 다른 기기로 옮겨도 해결되지 않습니다
기존 복구문구를 다른 하드웨어 지갑에 입력하면 기기만 달라질 뿐, 동일한 개인키와 지갑이 다시 생성됩니다.
복구문구가 취약하게 만들어졌거나 이미 노출됐을 가능성이 있다면 전혀 새로운 복구문구와 지갑 주소를 만들어야 합니다.
지갑을 만든 시점이나 당시 펌웨어를 확인하기 어렵다면, 기존 지갑을 계속 사용하기보다 새로운 지갑으로 자산을 이전하는 방안을 우선 검토해야 합니다.
4. 코인해킹 피해 발생 시 대응 방법
피해를 확인했다면 기기를 곧바로 초기화하거나 폐기하기 전에 관련 자료를 보전해야 합니다.
우선 확보할 자료는 다음과 같습니다.
▪ 피해가 발생한 지갑 주소와 TXID
▪ 출금 일시·수량 및 자산이 이동한 주소
▪ 콜드카드 모델과 사용한 펌웨어
▪ 기기 구매내역과 구매처
▪ 거래소 입출금 내역
▪ 피싱 메시지나 의심 사이트 등 피해 관련 자료
제조사나 판매자와 주고받은 내용, 사용한 지갑 프로그램 등 피해 원인을 확인할 수 있는 자료가 있다면 함께 보관하는 것이 좋습니다.
반대로 복구문구나 개인키 자체를 이메일이나 메신저로 전달해서는 안 됩니다. 수사기관, 거래소 또는 자산 복구업체를 사칭해 복구문구를 요구하는 2차 피해도 주의해야 합니다.
확보한 자료를 토대로 경찰청 사이버범죄 신고시스템에서 신고서를 작성한 뒤 경찰서를 방문할 수 있습니다. 경찰청은 온라인 신고 후 피해자의 경찰서 출석과 진술이 필요할 수 있으며, 이체내역과 대화내역 등 증빙자료를 첨부하도록 안내하고 있습니다. [경찰청 사이버범죄 신고시스템]
탈취된 자산이 특정 가상자산거래소로 이동한 정황이 있다면 해당 거래소에도 지갑 주소와 TXID를 전달해 관련 자료 보존과 출금 제한 협조를 요청할 필요가 있습니다.
다만 실제 계정 동결이나 자산 반환 여부는 거래소의 확인과 수사기관의 요청, 자산이 이동한 경로에 따라 달라질 수 있습니다.
5. 형사책임과 피해 회복 가능성
타인의 가상자산을 권한 없이 이전해 취득한 행위는 형사상 재산범죄로 처벌될 수 있습니다.
대법원은 비트코인이 경제적 가치를 디지털로 표시하고 전자적으로 이전·저장·거래할 수 있는 가상자산으로서, 사기죄에서 말하는 재산상 이익에 해당한다고 판단했습니다. [대법원 2021. 11. 11. 선고 2021도9855 판결]
🔹구체적인 공격 방식에 따라 적용 죄명이 달라집니다
공격자가 컴퓨터 등 정보처리장치에 허위 정보나 부정한 명령을 입력하거나, 권한 없이 정보를 입력·변경해 재산상 이익을 취득했다면 「형법」 제347조의2의 컴퓨터등사용사기죄가 검토될 수 있습니다.
현행 「형법」 제347조의2는 컴퓨터등사용사기죄에 대해 20년 이하의 징역 또는 5천만원 이하의 벌금을 규정하고 있습니다. [형법 제347조의2 컴퓨터등사용사기]
다만 콜드월렛에서 자산이 빠져나갔다는 결과만으로 컴퓨터등사용사기죄가 곧바로 성립하는 것은 아닙니다.
피해자의 기기나 네트워크에 침입했는지, 복구문구나 개인키를 어떤 방법으로 확보했는지, 거래를 어떤 프로그램과 방식으로 생성했는지를 구체적으로 확인해야 합니다.
🔹제조사나 판매자의 민사책임도 검토할 수 있습니다
제품 또는 펌웨어의 결함과 실제 자산 손실 사이의 인과관계가 확인된다면 제조사나 판매자에 대한 손해배상책임도 검토할 수 있습니다.
다만 콜드카드는 해외 제조사의 제품이므로 구매 경로, 국내 판매자나 수입자의 존재, 이용약관, 준거법과 관할 등을 함께 확인해야 합니다.
별도의 피싱이나 복구문구 유출 가능성이 있다면 제조사의 결함과 피해 사이의 인과관계가 쟁점이 될 수 있으며, 현재 국내에서 일률적인 보상 기준이 확정된 것은 아닙니다.
6. 자주 묻는 질문(FAQ)
Q1. 아직 자산이 빠져나가지 않았다면 기존 지갑을 계속 사용해도 되나요?
영향 가능성이 있는 펌웨어에서 복구문구를 만들었다면 기존 지갑을 계속 사용하는 것은 피하는 것이 좋습니다.
공격자가 개인키를 이미 확보했더라도 즉시 자산을 이전하지 않고 기다리고 있을 가능성을 배제할 수 없기 때문입니다.
Q2. 콜드카드 PIN만 변경하면 안전해지나요?
아닙니다.
PIN은 현재 보유한 기기의 물리적 접근을 제한하는 잠금 수단입니다. 복구문구나 개인키를 확보한 사람은 다른 기기나 지갑 프로그램에서도 동일한 지갑을 복원할 수 있습니다.
Q3. 공개 지갑 주소만 알려줘도 코인을 탈취할 수 있나요?
일반적으로 공개 지갑 주소만으로는 자산을 이전할 수 없습니다.
다만 복구문구나 개인키를 제공하거나, 악성 사이트와 지갑을 연결해 권한을 부여하거나 잘못된 거래에 서명한 경우에는 피해가 발생할 수 있습니다.
7. 정리 및 유의사항
이번 콜드카드 사건은 콜드월렛이라고 해서 모든 가상자산해킹 위험에서 벗어나는 것은 아니라는 점을 보여줍니다.
특히 중요한 것은 현재 설치된 펌웨어뿐만 아니라 복구문구를 처음 생성한 당시의 기기와 펌웨어입니다.
따라서 영향 가능성이 있다면 기존 복구문구를 다른 기기로 옮기는 데 그쳐서는 안 됩니다. 새로운 복구문구로 지갑을 만든 뒤 자산을 이전해야 합니다.
이미 코인해킹 피해가 발생했다면 기기를 초기화하기 전에 지갑 주소와 TXID, 펌웨어, 구매내역 등 관련 자료를 보전하고 수사기관에 신고하는 것이 중요합니다.
아울러 공격 방식과 자금 이동 경로에 따라 적용되는 죄명과 피해 회복 방법이 달라질 수 있으므로, 확보한 자료를 바탕으로 구체적인 대응 방향을 검토할 필요가 있습니다.
작성자 정보
작성: 디센트 법률사무소 진현수 대표변호사
최종 검토일: 2026. 8. 4
