2026년 7월 30일 이른 아침부터 시작된 이 도난 사건에서 가장 기이한 점은 공격의 강도가 아니라, 훔친 자금을 손에 넣고도 도둑이 거의 손을 대지 않았다는 것이다. Galaxy Research의 온체인 추적에 따르면, Coldcard 하드웨어 지갑 시드 재구성 공격으로 현재까지 확인된 도난액은 1,778 비트코인 이상, 약 1억 1,200만 달러에 달한다. 그러나 블록 높이 962,304(8월 13일 기준 데이터) 시점까지 그중 1,499.27개, 약 9,390만 달러어치는 여전히 공격자가 통제하는 주소에 손대지 않은 채 그대로 남아 있다.
문제의 근원은 2021년의 한 펌웨어 업데이트에 있었다. Coldcard의 시드 생성 절차가 조용히 하드웨어 난수 생성 칩에서 소프트웨어 대체 메커니즘으로 전환되면서, 키 강도가 128비트에서 최저 40비트까지 떨어졌다. 공격자는 피싱을 할 필요도, 악성 프로그램을 심을 필요도, 심지어 실물 기기에 접촉할 필요도 없었다. 오직 기기 일련번호와 시계 상태만으로 시드를 역산해내고 온체인에서 코인을 쓸어갈 수 있었다.
Galaxy가 정리한 공격 규모는 상당히 정밀하다. 1차 공격은 개시 직후 몇 분 만에 1,195개 주소에서 1,082.65 비트코인, 당시 시세로 약 7,050만 달러를 쓸어갔다. 별도로 확인된 것 중 규모가 가장 큰 'Footprint E'는 2,148개 주소에서 209.94개, 약 1,330만 달러를 가져갔으며, 3차 공격은 1,912개 주소에서 208.24개, 약 1,300만 달러를 탈취했다. 그 밖에 41개의 소규모 공격 흔적까지 더하면, 이번 사건으로 피해를 입은 주소는 총 5,200개를 넘어선다.
하지만 8월 6일 이후로는 3대 공격 물결을 포함해 확인된 모든 흔적에서 새로운 공격 활동이 나타나지 않았다. Galaxy의 판단은 명확하다. 이는 취약점이 보완되었다는 의미가 아니라, 여전히 단일서명 Coldcard를 사용하던 고위험 사용자들이 이미 자금을 옮겼거나, 훔칠 수 있는 것은 이미 다 털렸을 가능성이 높다는 것이다. 연구팀은 이미 190명이 넘는 피해자에게 직접 연락해 손실을 확인하고 새로운 공격 흔적을 검증했으며, 여전히 단일서명 Coldcard 지갑을 사용 중인 모든 사람에게 자금을 새 주소로 이전할 것을 권고하고 있다.
더 흥미로운 부분은 탈취 자금의 행방이다. 도난당한 비트코인 중 공격자가 실제로 사용한 것은 약 246개에 불과하며, 그중 65%가 Coinjoin 믹싱 거래로 흘러갔다. Galaxy가 최종 종착지를 추적할 수 있었던 물량은 174.97개뿐이었고, 대부분 마찬가지로 Coinjoin으로 흘러갔으며, 소액만 KuCoin과 Jump Crypto로 유입됐다. 다시 말해, 이번 탈취 자금은 규모가 워낙 크고 다루기 위험해서 대부분은 공격자 본인조차 아직 현금화를 시도하지 못하고 있다는 뜻이다.
Galaxy는 현재 638.5 비트코인 규모의 미확인 4차 공격 흔적도 확보하고 있다. 만약 이것까지 최종 집계에 포함된다면 총 손실액은 2,417 비트코인, 오늘 시세 기준 1억 5,130만 달러를 넘어서게 된다. 이번 사건으로 인해 약 150억 달러 규모의 비트코인이 더 안전한 보관 방식으로 옮겨지는 부수 효과도 나타났다. Ledger는 이에 대해 경고를 내놓으며 지갑 보안 메커니즘이 AI 보조 취약점 탐색 방식에 대응해 조정되어야 한다고 밝혔고, 다른 하드웨어 지갑 제조사들도 시장 공포가 확산되는 동안 사용자를 노린 피싱 공격이 한 차례 발생했다고 지적했다.
