복구 구문은 얼마나 맞히기 어려울까? ColdCard는 그걸 쉽게 만들었다

This article is written as a plain-language explainer. To keep things easy to follow, some technical details have been simplified or turned into analogies, and may differ from how things actually work under the hood. If you need to make decisions about securing real assets, please go by the official announcements and consult a professional.

2026년 7월 30일, 비트코인 체인상에서 이례적인 일이 발생했습니다. 단 15분이라는 짧은 시간 동안 500개의 주소에서 대략 594.48 BTC(약 3,800만 달러)가 단 하나의 주소로 전송된 것입니다. 그 직후, 이 중 약 562 BTC가 또 다른 주소로 이동했습니다. 이는 명백히 일반적인 전송 활동이 아니었으며, 나중에 해커가 탈취한 자금을 이동시킨 것임이 확인되었습니다. 온체인 기록

500개의 소스 주소 → 하나의 통합 주소 (~594.48 BTC / ~$3,800만) → 두 번째 주소 (~562 BTC)

피해자들이 잇달아 등장하면서 공통적인 연결 고리가 드러났습니다. 모두 Coldcard 하드웨어 지갑을 사용했다는 점입니다. 같은 날, ColdCard의 제조사인 Coinkite는 보안 경고를 발행했으며, 공식 조사와 독립적인 기술 분석 모두를 통해 ColdCard 지갑에 문제가 발생했음이 확인되었습니다. 문제는 난수가 생성되는 방식에 있었으며, 이는 공격자가 Coldcard를 물리적으로 깰 필요조차 없었음을 의미합니다. 공격자는 사용자의 복구 구문만 추측하면 자금을 털어갈 수 있었습니다.

도대체 무슨 일이 일어난 것일까요?

이 전체 사건은 단 하나의 특정 단계, 즉 복구 구문 생성 과정에서 잘못되었습니다.

비유를 하나 들어보겠습니다. 일반적으로 하드웨어 지갑이 복구 구문을 생성할 때는 거의 무한한 열쇠 금고에 손을 넣어 그중 하나를 무작위로 꺼내 여러분에게 건네주는 것과 같습니다. 그리고 그 열쇠는 오직 여러분만의 금고를 엽니다. 하지만 ColdCard의 소프트웨어에 버그가 있었고, 열쇠를 가져오는 범위가 그 거대한 금고 전체에서 하나의 작은 서랍 크기로 줄어들었습니다. 그 서랍 안에 있는 열쇠들을 하나씩 시도해 보기만 하면 됩니다. 열쇠가 맞는 금고가 나올 때마다 그 안을 털어가는 식입니다.

물론 이 비유가 완전히 정확한 것은 아니지만 원리는 그렇습니다. 좀 더 정확히 말하자면, ColdCard 펌웨어 팀의 결함 있는 업데이트로 인해 지갑이 복구 구문을 생성할 때 더 안전한 하드웨어 난수 생성기를 호출하지 못하고, 대신 "의사난수(pseudo-random)" 소프트웨어 난수 생성기를 사용하게 되었습니다. 그 결과로 생성된 "비밀번호", 즉 복구 구문은 단순히 보안성이 충분하지 않았고, 이것이 이번 사건으로 이어졌습니다.

이쯤 되면 이런 의문이 들 수 있습니다. 내 복구 구문이 난수와 무슨 상관이 있는 걸까요? 해커는 금고의 비밀번호를 어떻게 찾아낸 걸까요? 그리고 난수 생성기라는 건 도대체 무엇일까요? 잠시만 기다려 주세요. 차근차근 설명해 드리겠습니다.

복구 구문 뒤에 숨겨진 진실은 무엇일까요?

복구 구문이 자산이 당신의 것임을 증명하는 이유는 무엇인가요?

복구 구문이 어디에서 오는지 알아보기 전에, 먼저 짚고 넘어가야 할 것이 있습니다. 바로 자산, 지갑, 그리고 복구 구문 사이의 관계입니다.

사실 복구 구문은 금고 열쇠와는 별로 닮지 않았습니다. 블록체인의 기본 설계에서 여러분의 자산더미는 은행에 놓인 현금처럼 처음부터 체인 위에 완전히 공개되어 있었습니다. 현금 그 자체에는 소유자의 이름이 적혀 있지 않으며, 누구나 볼 수 있고 이론상으로는 누구든 그것으로 무언가를 할 권리가 있습니다. 하지만 그렇다고 아무나 무제한으로 인출할 수 있는 것은 아닙니다. 자산을 전송하기 전에 체인이 여러분에게 이 자산을 보유하고 있으며 당신의 것임을 보여주는 "증명"을 제시할 것을 요구하고, 그 "증명"이 바로 복구 구문이기 때문입니다.

즉, 체인에 복구 구문을 입력하는 사람이 누구든 간에, 그것이 가리키는 자산은 그 사람의 것입니다. 조작하는 사람이 설령 당신이 아니더라도 말이죠. 체인이 인식하는 것은 오직 누군가가 유효한 소유권 증명을 제출했다는 사실뿐이기 때문입니다.

누군가 전송을 시작함 → 체인이 증명을 요구함 → 복구 구문으로부터 유도된 서명 → 검증됨, 자산 이동 가능

체인은 사람이 아니라 증명을 신뢰합니다.

따라서 복구 구문은 본질적으로 부동산 등기부 등본이나 "특별한 번호"가 새겨진 관인에 더 가깝습니다. 인장 자체는 위조하기 쉽지만, 그것을 변조 불가능하게 만드는 것은 인장에 담긴 특별한 "번호"이며, 설계상 그 번호는 다른 사람이 절대 짐작할 수 없도록 되어 있습니다.

결국 모든 핵심은 그 "번호"들의 나열로 귀결됩니다. 그것은 어디서 오는 것일까요? 그리고 어떻게 여러분의 자산을 안전하게 지켜주는 것일까요?

복구 구문은 어떻게 숫자에 불과한 것에서 단어가 될까요?

우리 모두 알다시피 컴퓨터는 이진법으로 구동됩니다. 텍스트, 이미지, 비밀번호 등은 일단 컴퓨터 내부로 들어가면 모두 0과 1의 나열이 됩니다. 복구 구문도 예외는 아닙니다.

예를 들어 컴퓨터 내부에서는 다음과 같은 형태로 보일 수 있습니다:

010101000010

하지만 이런 의문이 들 수 있습니다: 복구 구문은 영단어들의 모음이지 숫자가 아닌데, 대체 이 0과 1의 문자열에서 어떻게 단어들이 튀어나오는 걸까요?

사실 그리 복잡하지 않습니다. 먼저 어떤 조각의 숫자가 어떤 단어와 매칭되는지 알려주는 "사전"을 준비하는 것부터 시작합니다. 이해하기 쉽도록, 단 16개의 단어만 포함된 아주 작은 사전을 만들어 보겠습니다:

다음으로, 그 코드 문자열을 세 부분으로 나눕니다:

0101 | 0100 | 0010

그런 다음 이 세 조각을 가져와 사전에서 찾아봅니다:

0101 → squirrel
0100 → coffee
0010 → moon

이렇게 읽기란 거의 불가능했던 이진수 문자열이 종이에 적기 쉬운 세 개의 단어로 바뀝니다.

squirrel　coffee　moon

이것이 바로 복구 구문의 핵심 원리입니다. 복구 구문은 느닷없이 튀어나온 단어들의 모음이 아닙니다. 하나의 긴 숫자를 여러 개의 작은 조각으로 나누고, 고정된 단어장을 이용해 각 조각을 단어로 변환한 것입니다.

물론 실제 복구 구문은 이 예시보다 조금 더 복잡합니다. 단어장이 더 크고, 숫자는 더 길며, 체크섬(checksum) 정보가 추가됩니다. 하지만 핵심 로직은 변하지 않습니다. 복구 구문은 그저 인간이 기록하고, 보관하고, 복원하기 더 쉽도록 긴 숫자 문자열을 다르게 표현한 방식일 뿐입니다.

24단어를 추측하는 것은 과연 얼마나 어려울까요?

이 점을 이해하고 나면, 이제 드디어 실제 복구 구문에 대해 이야기할 수 있습니다. 요즘에는 복구 구문을 생성하기 위한 표준이 꽤 여러 가지가 있으며, 이는 단순히 여러 개의 서로 다른 "사전"이 존재한다고 생각하시면 됩니다. 가장 널리 사용되는 BIP-39를 예로 들어 복구 구문의 보안이 실제로 어디에서 오는지 살펴보겠습니다.

BIP-39 사전에 수록된 단어는 무려 2,048개로, 앞서 예시로 든 것보다 훨씬 많지만 작동 방식은 기본적으로 같습니다. 이 역시 매우 긴 하나의 이진 코드 문자열에서 추출됩니다. 구체적으로는 264비트 문자열에서 파생되며, 여기서 11비트마다 하나의 단어를 나타냅니다. 각 단어는 2^11, 즉 2,048개의 경우의 수를 가지며 이는 사전의 2,048개 단어와 정확히 일치합니다.

하지만 컴퓨터는 이진수로 작동하며, 컴퓨터가 생성하는 난수는 2의 배수로만 이루어질 수 있기 때문에 264비트 난수를 직접 생성할 수는 없습니다. 대신 먼저 256비트 난수를 생성한 다음, 처음 8자리를 끝으로 이동시키는 방식을 사용합니다. 이제 24단어 복구 구문에 필요한 264비트가 완성됩니다.

방금 살펴본 내용을 기억하시나요? 복구 구문의 보안, 즉 우리의 "공인 인장"은 특별한 하나의 숫자 문자열에서 오며, 그 숫자는 구문 뒤에 숨겨진 난수입니다. 또한 우리는 그 누구도 인장에 새겨진 숫자를 맞출 수 없기 때문에 인장이 안전하다고 했습니다. 틀린 숫자를 추측해서 다른 사람의 자산을 가져갈 수는 없는 노릇이니까요. 그렇다면 그 숫자를 맞추는 것은 얼마나 어려울까요? 그것은 난수의 길이에 달려 있습니다. 256비트 난수는 무려 2^256개의 경우의 수를 가지며, 이는 곧 2^256개의 가능한 복구 구문, 또는 2^256개의 가능한 지갑 주소가 존재함을 의미합니다.

그 숫자는 과연 얼마나 클까요? 관측 가능한 우주에 존재하는 소립자의 수는 대략 10^80개 정도로 추정되는 반면, 2^256 ≈ 10^77입니다. 즉, 우주에 존재하는 거의 모든 관측 가능한 소립자마다 하나씩 지갑 주소를 나누어 줄 수 있다는 뜻입니다. 또한 전 인류의 인구수는 고작 2^33명 정도이므로, 모든 사람이 각각 2^223개 정도의 주소를 가질 수 있습니다. 이는 1 뒤에 0이 67개 붙는 숫자입니다.

10,000,000,000,000,000,000,000,000,000,000,000,000,000,000,000,000,000,000,000,000,000,000

따라서 해커가 여러분의 복구 구문을 알아내려는 시도는 그 모든 주소 중에서 잔고가 들어 있는 단 하나의 주소를 찾아내려는 것과 같습니다. 이는 엄청나게 어려운 일입니다.

하지만 이 시점에서 누군가는 다음과 같이 물을 수 있습니다. 컴퓨터가 우연히 완전히 동일한 두 개의 지갑 주소를 생성할 수도 있지 않을까요? 그렇다면 나중에 생성한 사람이 먼저 생성한 사람의 자산을 가져갈 수 있는 것 아닐까요? 좋은 질문이며, 기술적으로 그 가능성은 존재합니다. 하지만 현실 세계에서는 그런 일이 일어나지 않습니다. 독립적이고 올바르게 생성된 24단어 BIP-39 복구 구문 두 개가 서로 동일할 확률은 1 / 2^256 ≈ 8.6 × 10^-78입니다.

비교를 위해, 신뢰할 수 있는 논문에 따르면 향후 1초 이내에 지구를 강타하여 대멸종을 일으킬 만큼 강력한 감마선 폭발이 일어날 확률은 약 4.4 × 10^-17로 추정됩니다. 즉, 복구 구문이 우연히 일치할(collision) 확률은 대멸종 사건이 일어날 확률보다 대략 5 × 10^60배 더 낮습니다.

이는 복구 구문을 추측하는 것이 얼마나 불가능에 가까운 일인지 대략적으로 짐작할 수 있게 해줍니다.

그렇다면 ColdCard는 정확히 무엇을 잘못했을까요?

2^256에서 2^40으로

복구 구문의 이면에 있는 진정한 의미를 이해하고 나면, ColdCard가 무엇을 잘못했는지 쉽게 이해할 수 있습니다.

ColdCard 팀의 결함 있는 업데이트 하나로 인해 복구 구문을 생성할 때 원래는 2^256개의 가능한 구문이 나와야 했지만 단 2^40개만 생성되는 엄청난 규모의 공백이 발생했습니다. 40비트 난수가 어떻게 24개의 단어를 만들어내는지 의문이 들 수도 있지만, 거기에 너무 얽매일 필요는 없습니다. 여러분이 알아야 할 것은 이 버그로 인해 ColdCard가 생성한 지갑 주소가 해커에게 추측될 확률이 극적으로 높아졌다는 점입니다.

영향의 범위를 정확히 짚고 넘어갈 필요가 있습니다. 모델마다 영향 받은 정도가 달랐기 때문입니다. 여기서 논의된 약 40비트는 주로 Mk2 및 Mk3에 적용되며, Mk4, Mk5 및 Q의 추정치는 약 72비트입니다.

두 값을 나란히 놓고 보면 정답이 눈에 들어옵니다. ColdCard에서 생성된 가능한 복구 구문은 총 1,099,511,627,776개에 불과했습니다. 해커의 입장에서 보면 고성능 장비로 이를 하나씩 대입해 보는 것만으로도 자산을 탈취해 갈 실질적인 가능성이 생깁니다. 여전히 어려운 작업이기는 하지만, 더 이상 현재 인류의 기술 수준으로 감당할 수 없는 규모가 아닙니다.

그 시점까지만 해도 상황이 완전히 파멸적인 것은 아니었습니다. 1,099,511,627,776도 여전히 꽤 큰 숫자이며, 네트워크 지연까지 고려하면 해커가 잔액이 있는 주소를 찾아내기까지 몇 년의 시도가 필요했을 수도 있습니다.

안타깝게도 ColdCard의 실수로 인해 그러한 가능한 값들을 생성하는 방식마저 추적 가능해졌고, 이로 인해 난이도가 엄청나게 낮아졌습니다.

소프트웨어가 생성한 난수는 왜 추측당할 수 있을까요?

ColdCard가 복구 구문에 사용한 난수가 "소프트웨어 난수 생성기"에서 비롯되었기 때문입니다. 엄밀히 말해 그러한 종류의 생성기는 모두 "의사 난수(pseudo-random)"이며 그 알고리즘을 추적할 수 있습니다. 왜 그런지 설명해 드리겠습니다.

먼저 진정한 무작위성이 무엇인지 생각해 봅시다. 동전 던지기를 예로 들어보겠습니다. 보통 앞면과 뒷면이 나올 확률은 각각 50%로 동일하며 무작위로 나온다고 말합니다. 동전이 공중을 회전할 때 우리가 플립한 강도, 지구의 중력, 방 안 에어컨의 세기와 방향, 코리올리 효과, 심지어 지각 변동에 의한 미세한 진동 등 우리가 생각할 수 있는 요인들과 그렇지 않은 수많은 요인들에 의해 궤도가 결정되기 때문입니다. 이 모든 요인들이 합쳐지면 동전의 공중 비행 궤적을 계산하는 것이 불가능해지고, 그 결과 예측할 수 없기 때문에 우리는 동전 던지기가 "무작위"라고 받아들입니다.

하지만 "소프트웨어 난수 생성기"는 고정된 알고리즘에서 실행됩니다. 일반적으로 몇 가지 초기 조건을 가져와 고정된 알고리즘을 거치게 한 뒤 고정된 난수를 생성합니다. 다시 말해, 이러한 몇 가지 초기 조건만 알면 어떤 난수가 생성되는지, 따라서 복구 구문이 무엇이 될지 알 수 있다는 뜻입니다.

그리고 운이 좋게도 사람들이 주로 사용하는 초기 조건은 생성 시점의 타임스탬프, 기기가 부팅된 시점의 타임스탬프, 기기 일련번호 등입니다. 이는 해커가 그러한 숫자에 대해 합리적인 추정을 한 다음, ColdCard가 생성한 복구 구문을 깨기 위한 알고리즘을 설계하기만 하면 된다는 뜻입니다. 즉, 구문이 생성되는 방식에 애초부터 패턴이 존재하기 때문에 해커는 전혀 맹목적으로 추정할 필요가 없습니다.

하드웨어 난수 생성기는 실제로 어떻게 보안을 유지할까?

이 모든 것의 근본적인 원인은 ColdCard가 "진정한 난수 생성기", 즉 보안 엘리먼트 칩 내부의 하드웨어 난수 생성기를 사용하지 않았다는 점입니다. 앞서 말했듯이 일반적인 소프트웨어 PRNG는 다음과 같은 결정론적 공식입니다.

device ID + time + algorithm → random number

공격자가 기기 ID와 타이밍을 열거할 수 있다면 모든 결과를 다시 계산할 수 있습니다.

반면에 진정한 난수 생성기는 다음과 같은 물리 현상을 활용합니다.

• 회로의 열 잡음(thermal noise);
• 오실레이터 지터(oscillator jitter);
• 트랜지스터 준안정성(transistor metastability);
• 애벌란시 노이즈(avalanche noise);
• 일부 기기의 양자 노이즈(quantum noise);
• 우주선(cosmic rays)으로 인한 무작위 메모리 오류.

등을 활용해 복구 구문을 생성하며, 이는 마치 동전 던지기와 같아서 수많은 간섭 요인들이 인간의 예측 범위를 완전히 벗어납니다. 그 과정은 다음과 같이 이루어집니다.

unpredictable physical noise → sample and digitize → condition and hash → seed a cryptographically secure PRNG → generate the recovery phrase

공격자가 기기 모델, 일련번호, 부팅 시간, 전체 소스 코드를 알고 있더라도, 그 순간의 회로 노이즈가 가진 정확한 파형을 역산해 낼 수는 없습니다. 진정으로 신뢰할 수 있는 무작위성이란 바로 그런 것입니다.

엔트로피: 무작위성을 측정하는 척도

엔트로피란 무엇인가?

"엔트로피(Entropy)"는 복잡하게 들리지만, 단순하게 이렇게 생각하면 됩니다. 결과가 드러나기 전에 가능한 결과의 가짓수가 몇 개인가 하는 것입니다.

일반적인 동전은 앞면과 뒷면, 두 가지 결과가 가능합니다. 동전을 한 번 던지면 2^1 = 2이므로 1비트의 엔트로피가 발생합니다. 두 번 던지면 앞-앞, 앞-뒤, 뒤-앞, 뒤-뒤의 네 가지 가능성이 생기며, 2^2 = 4이므로 2비트의 엔트로피가 됩니다. 이런 식으로 계속 던져서 256번을 던지면 2^256개의 서로 다른 결과가 나오고, 이는 곧 256비트의 무작위성이 됩니다.

하지만 엔트로피의 핵심은 단순히 결과가 뒤섞여 보이는 것에만 있지 않습니다. 더 중요한 것은 그 누구도 결과를 미리 알 수 없어야 한다는 점입니다. 만약 동전이 조작되어 항상 앞면만 나온다면, 256번을 던지더라도 결과는 애초부터 예측 가능했기 때문에 엔트로피는 여전히 0이 됩니다.

진정한 난수 생성기(True RNG)조차 믿을 수 없다면?

하드웨어 지갑 내부에 있는 진정한 난수 생성기마저 신뢰할 수 없다면, 더 원시적인 방법이 있습니다. 바로 직접 동전을 던져 내 손으로 무작위성을 만들어내는 것입니다.

앞면은 0, 뒷면은 1로 기록하며 동전을 256번 던져 모든 결과를 적어둡니다. 그러면 256비트의 이진수가 만들어집니다. 그런 다음, 완전히 오프라인 환경에서 BIP-39 표준에 따라 해당 숫자의 체크섬을 계산하고 24개의 영어 단어로 변환합니다. 이것이 바로 완전한 복구 문구(recovery phrase)입니다.

동전을 256번 던지기 → 앞면과 뒷면 기록하기 → 256비트 이진수 → BIP-39 체크섬 계산하기 → 24개의 복구 단어 → 하드웨어 지갑에 가져오기

여기서 주의할 점이 있습니다. 동전 던지기는 "난수 생성" 단계만 대체할 수 있을 뿐, 하드웨어 지갑 자체를 대체할 수는 없습니다. 지갑 보관, 주소 도출, 트랜잭션 서명은 여전히 하드웨어 지갑의 격리된 환경 안에서 이루어져야 합니다. 연결된 기기는 오직 트랜잭션을 관찰하고 브로드캐스트하는 역할만 해야 하며, 복구 문구와 절대 접촉해서는 안 됩니다.

실제 동전 던지기 결과를 웹페이지에 입력하거나, 무작위로 느껴진다고 해서 임의로 0과 1의 문자열을 지어내지 마십시오. 모든 결과가 진정으로 예측 불가능한 동전 던지기에서 비롯된 것일 때만, 그 숫자 문자열은 진정한 무작위성을 갖추게 됩니다.