2026년 들어 하드웨어 지갑 6개 브랜드가 보안 문제를 공개했다. 이 가운데 암호자산 손실로 이어진 사건은 Coldcard와 한 Ledger 유통업체와 관련돼 있다. 최근 사건은 기기가 구매자에게 전달되기 전에 변조됐을 가능성과 관련이 있으며, 해당 Ledger 기기가 동남아시아 이외 지역으로도 유통됐을 수 있다는 보고가 나왔다. 다만 구체적인 유통 범위와 영향을 받은 이용자 수는 아직 확인되지 않았다. 오프라인 방식으로 자산을 보관하는 하드웨어 지갑 이용자에게 위험 요인은 기기 자체에만 국한되지 않는다. 키 생성 과정과 공급망, 고객 데이터 관리도 자산 보안에 영향을 줄 수 있다.
Coldcard 키 무작위성 문제로 1억1500만달러 이상 손실
7월 30일부터 일부 Coldcard 지갑에 보관된 자산이 도난 세력에 의해 이동되기 시작했다. 문제의 원인은 키를 생성하는 과정에서 무작위성이 충분하지 않았던 데 있는 것으로 파악됐다. 이후 Galaxy Research는 Coldcard 관련 손실 규모가 1억1500만달러를 넘어선 것으로 추산했다. 하드웨어 지갑이 개인 키를 직접 생성하더라도 키 생성 방식에 결함이 있으면 자산 안전성이 훼손될 수 있다는 점을 보여주는 사례다.
레이저 공격에는 기기 확보와 실험실 장비 필요
Ledger 내부 보안팀은 6월 Trezor Safe 7 칩을 대상으로 레이저 공격 테스트를 진행했고, 7월에는 Tangem 카드에도 유사한 테스트를 실시했다. 두 공격 모두 실제 기기를 확보하고 전문 실험실 장비를 사용해야 한다. Trezor는 이용자 자금에 영향이 없었다고 밝혔으며, Tangem은 일반 이용자가 직면하는 위험이 「거의 없다」고 설명했다. Tangem은 관련 연구자들이 경쟁사 소속이라는 점도 언급했다.
BitBox, 펌웨어 취약점 수정…자금 도난 보고는 없어
BitBox는 8월 여러 펌웨어 취약점을 수정했다. 회사 엔지니어들은 해당 취약점들을 심각한 문제로 평가했지만, BitBox는 이로 인해 자금이 도난당한 사례는 보고하지 않았다. Coldcard 사건과 비교하면 보안 문제의 존재와 실제 자산 손실은 별개의 사안일 수 있다. 취약점이 실제로 악용됐는지, 공격에 기기 실물이 필요한지에 따라 이용자가 직면하는 위험도 달라진다.
개인정보 유출과 기기 변조는 다른 유형의 위험
또 다른 사건에서는 지갑 키가 직접 노출된 것이 아니라 이용자의 개인정보가 영향을 받았다. Trezor의 배송 협력업체에서는 구매자 1만3689명의 데이터가 유출됐고, SafePal의 데이터 유출 규모는 약 4만 가구의 주소에 달했다. 주소와 같은 정보가 유출되면 개인정보 침해와 후속 보안 문제가 발생할 수 있지만, 현재 공개된 내용만으로는 이 사건들이 해당 이용자의 암호자산 도난으로 직접 이어졌다는 근거는 확인되지 않았다.
Ledger 관련 사건의 핵심 쟁점은 공급망에 있다. 기기가 구매자에게 도착하기 전에 변조됐다는 의혹이 제기됐기 때문이다. 현재까지 영향을 받은 기기의 수와 판매 경로에 관한 세부 내용은 공개되지 않았으며, 동남아시아 이외 지역으로 어느 정도 유통됐는지도 확인되지 않았다. 현재 확인 가능한 사실은 2026년 하드웨어 지갑 브랜드 6곳이 보안 문제를 공개했고, 암호자산 손실이 발생한 것으로 알려진 사례가 Coldcard와 Ledger 유통업체 관련 사건이라는 점이다. 변조 의혹이 제기된 Ledger 기기의 실제 유통 범위는 추가 확인이 필요한 상태다.