| 서울=한스경제 전시현 기자 | 비트코인 전용 하드웨어 지갑 '콜드카드'에서 5년동안 방치된 코드 결함으로 1367 BTC(약 8860만 달러·약 1200억원) 규모의 도난이 불거진 가운데, 인공지능(AI)이 같은 취약점을 단 8분 만에 찾아낸 정황이 확인되면서 파장이 일고 있다.
▲ "명령 한 줄에 8분"···AI가 들춘 구멍
3일 가상자산 업계에 따르면, 레딧 비트코인 커뮤니티(서브레딧)에서 활동하는 한 개발자는 앤트로픽의 코딩 AI '클로드 코드'에 "취약점을 확인해 달라"는 명령 한 줄만 입력하고 약 8분동안 추론을 맡긴 끝에 이번 사태를 부른 핵심 결함을 찾아냈다. 이 개발자는 "소스 코드를 제대로 들여다본 사람이 아무도 없었다는 이유만으로 AI를 쓴 누군가가 1억 달러 규모의 비트코인을 훔칠 수 있었다는 점이 믿기지 않는다"고 적었다.
동일한 결함은 다른 AI로도 재현됐다. 가상자산 개발자 스티븐 델로름은 콜드카드 펌웨어 저장소를 내려받은 뒤 '클로드 오푸스 5'로 같은 문제를 확인한 것으로 전해진다. 그는 "우리가 쓰는 모든 소프트웨어는 취약하며, AI 에이전트와 함께 그 사실을 실시간으로 아프게 깨닫는 중이다"고 짚었다. 중국 지푸AI의 'GLM 5.2'로도 결함이 재확인된 것으로 파악된다.
▲ 41분 만에 700억···세 차례 '쓸어담기'
문제의 결함은 2021년 3월 배포된 펌웨어(버전 4.0.1)에서 비롯된다. 콜드카드는 지갑 시드를 만들 때 STM32 칩에 내장된 하드웨어 난수생성기(RNG)를 거쳐야 했으나, 특정 매크로 설정 오류로 소프트웨어 기반 유사난수생성기(PRNG)로 우회 처리된 것으로 드러났다. 시드가 예측 가능한 값으로 만들어진 탓에, 공격자는 기기에 물리적으로 접근하지 않고도 오프라인에서 개인키를 재구성할 길이 열렸다.
블록(Block)의 비트코인 보안팀은 매크로 'MICROPY_HW_ENABLE_RNG'가 정의됐는지만 검사하고 그 값이 0인지는 확인하지 않은 점을 근본 원인으로 꼽았다. 값이 0으로 설정된 탓에 펌웨어는 암호 용도로 설계되지 않은 유사난수생성기 '야스마랑'으로 되돌아갔다.
온체인 분석업체 갤럭시 리서치 관계자는 "세 차례에 걸친 공격으로 4585개 주소에서 1367.05 BTC가 빠져나갔다"고 밝혔다. 가장 큰 피해는 지난 7월 30일에 집중됐다. 공격자는 단 41분 만에 1196개 주소에서 1082.65 BTC(약 7020만 달러)를 쓸어담았다. 갤럭시 측은 1·2차 공격이 동일 주체의 소행일 가능성을 제기하면서도, 3차 공격까지 같은 공격자로 단정하기는 이르다고 선을 그었다.
▲ 끝나지 않은 공격···"업계 전체의 민낯"
공격은 진행형이다. 갤럭시 리서치 소속이라고 밝힌 앨릭스 손은 X를 통해 4차로 의심되는 조직적 공격 정황을 알렸다. 비트코인 블록 960778~960792 구간에서 462개 피해 주소를 겨냥한 218건의 의심 거래가 발생하며 약 389 BTC가 이동한 것으로 파악된다. 콜드카드 제조사 코인카이트는 사태 이틀 만인 1일 긴급 패치 펌웨어를 배포하면서, 문제 펌웨어로 시드를 생성한 이용자는 즉시 새 시드로 자금을 옮기라고 권고하고 나섰다.
이번 사태를 두고 가상자산 업계에는 특정 제조사의 문제로 국한할 수 없다는 관측이 나온다. 블록타워캐피털 창업자 아리 폴은 "이번 침해가 한 업체의 실패가 아니라 산업 전반이 공유하는 구조적 약점을 드러냈다"라고 지적했다. 이어 "오픈소스 코드를 수년간 누구도 검증하지 않은 사이 AI가 몇 분 만에 결함을 찾아내는 현실이, 앞으로는 사람 손에만 맡기지 말고 AI로 코드를 상시 점검해야 한다"고 덧붙였다.
Copyright ⓒ 한스경제 무단 전재 및 재배포 금지
