약 3,600만 달러 상당의 도난 자금이 보관된 한 비트코인 지갑이 수백 명의 사람들이 네트워크 수수료를 지불하며 정체불명의 절도범에게 영구적인 메시지를 남기는 이색적인 공개 포럼으로 변모했습니다. CoinDesk가 Coldcard 하드웨어 지갑 침해 사건과 연관된 것으로 확인한 이 지갑에는 OP_RETURN 출력 데이터가 지속적으로 축적되고 있습니다. 각 트랜잭션에는 피해 보상을 요구하는 피해자, 가짜 복구 서비스를 제시하는 사기꾼, 해당 주소를 디지털 게시판처럼 활용하는 구경꾼들의 메시지가 담겨 있습니다.

이러한 활동은 온체인 분석가들이 단일 주소를 향한 비정상적인 소액 트랜잭션 집중 현상을 포착한 7월 말부터 수면 위로 드러나기 시작했습니다. 각 트랜잭션은 비더스트(non-dust) 최소 임계값인 546 satoshis 수준의 소액 비트코인과 함께 최대 80바이트의 임의 데이터를 인코딩할 수 있는 OP_RETURN 필드를 포함합니다. 현재 수수료율 기준으로 발신자는 메시지당 약 1달러에서 3달러를 지불하고 있으며, 이는 채굴자들에게 수익을 제공하는 동시에 메시지를 블록체인에 변조 불가능한 형태로 영구히 기록하고 있습니다.

| 추정 도난 BTC | ~560 BTC | | $64,121 기준 USD 가치 | ~$3,600만 | | 기록된 메시지 수 (추정) | 300+ | | 평균 |

fee per message | $1.50–$3.00 | | BTC price (Aug 5) | $64,121 | | 24h BTC change | +0.60% | 취약점 종류는 현재 조사 중입니다. Coldcard 제조사 Coinkite는 해당 도난을 특정 펌웨어 결함이나 공급망 공격과 연결하는 성명을 발표하지 않았습니다. 보안 연구원들은 하드웨어 지갑 침해가 일반적으로 세 가지 범주로 나뉜다고 지적합니다. 악성 펌웨어가 배송 전에 설치된 경우, 보안 요소에 대한 물리적 조작, 또는 사회 공학을 통해 시드 구문을 추출하는 피싱 캠페인이 이에 해당합니다. 확인된 공격 벡터가 없을 경우, 다른 Coldcard 사용자는 기기 진위 확인과 에어갭 서명 관행 유지 이외에 구체적인 완화 방안이 없습니다.

피해자들은 공개 호소 전략을 채택하여 "너가 훔쳤으니 일부를 돌려줘" 및 "우리가 네가 보고 있다는 걸 알아 — 10%를 돌려주면 추적을 멈출게"와 같은 메시지를 삽입했다. 복구 사기꾼들은 동일한 채널에 선불료를 받는 "보장된 복구" 서비스를 광고하는 메시지를 쏟아부었는데, 이는 2022년 Nomad 브리지 익스플로잇 및 2023년 Euler Finance 해킹과 같은 이전의 주요 도난 사건 이후 관찰된 패턴이다. Chainalysis 및 TRM Labs과 같은 블록체인 분석 기업들은 해당 주소를 플래그하여, 향후 어떤 이동이 주요 거래소의 컴플라이언스 데스크에서 경보를 트리거하도록 보장한다. 이 현상은 비트코인의 구조적 특성을 강조한다: 한 주소가 notorious해지면, 프로토콜 업그레이드로 제거할 수 없는 커뮤니케이션의 셸링 포인트가 된다. 마이너들은 메시지를 중립적으로 처리하고, 노드들은 중계하며, 익스플로러들은 색인한다. influx를 멈추는 유일한 방법은 도둑이 자금을 새로운 주소로 이동시키는 것인데, 이는 규제된 온-램프에서 자산 압수 시도에 즉시 노출되는 행위이다.

사용자 영향은 최초 피해자를 넘어섭니다. 콜드카드(Coldcard) 소유자들은 이제 평판 리스크와 자사 기기가 동일한 공격 표면을 공유하는지에 대한 불확실성에 직면해 있습니다. 코인키트(Coinkite)의 침묵은 우려를 증폭시킵니다. 하드웨어 지갑 신뢰 모델은 취약점이 드러났을 때 신속하고 투명한 공개에 의존하기 때문입니다. 경쟁사인 레저(Ledger)와 트레저(Trezor)는 자사의 알려진 침해 주소를 겨냥한 유사한 메시지 보드 활동이 보고되지 않았다고 밝혔으며, 이는 공격 벡터가 콜드카드의 아키텍처나 특정 배치의 기기에 국한된 것일 수 있음을 시사합니다.

업계 파급 효과는 커스터디 표준으로 번지고 있습니다. 유사한 보안 요소 설계를 가진 하드웨어 보안 모듈(HSM)을 사용하는 기관 커스터디안들은 공급망 검증 절차를 재평가할 수 있습니다. 디지털 자산 보험 언더라이터들은 이 사건을 하드웨어 지갑 의존 보장의 보험료 산정 모델에 반영할 가능성이 높습니다. 가상자산사업자(VASP) 프레임워크를 갖춘 관할권의 규제 당국은 지갑 제조사에 대한 의무적 침해 통보 기한을 주장할 때 이 사례를 인용할 수 있습니다.

지갑은 여전히 활성 상태입니다. 8월 5일 코인데스크(CoinDesk) 보도 기준으로 탈취된 비트코인은 이동하지 않았습니다.

메시지가 계속 도착하고 있다. 각각은 도둑이 여전히 지켜보고 있다는 것과, 가치 이전을 위해 설계된 블록체인이 인질 협상 채널로도 쓰일 수 있다는 것에 대한 2달러짜리 내기다.