트레조, 콜드카드 공격 이후 지갑 암호문 제한을 128자로 확대

하드웨어 지갑 제조사 트레조는 올해 초 취약한 콜드카드 기기 관련 암호화폐 도난 사고를 계기로 최대 암호문 길이를 50자에서 128자로 늘렸다.

요약

• 트레조는 10월 소프트웨어 업데이트에서 지갑 암호문 제한을 50자에서 128자로 확대했다.

• 이 기능은 최신 펌웨어가 필요하며 모델 T, 세이프 3, 세이프 5, 세이프 7 기기에서 지원된다.

• 트레조는 7월 콜드카드 공격 사례를 언급했는데, 이때 약한 복구 문구로 인해 비트코인 지갑이 도난당했다.

• 강력하고 고유한 암호문은 일부 영향을 받은 콜드카드 사용자에게 즉각적인 손실을 막아준 것으로 알려졌다.

• 이 발표는 크립토빌리스를 통해 판매된 조작 의심 하드웨어 지갑에 대한 별도 경고에 이어 나왔다.

트레조의 11월 1일 발표에 따르면, 이 변경 사항은 10월 소프트웨어 업데이트를 통해 제공되며 호환 가능한 기기 펌웨어가 필요하다. 회사는 더 긴 암호문이 지갑 복구 정보 유출 시 암호화폐 보유액을 보호하는 또 다른 수단이 된다고 밝혔다.

이 발표는 7월 콜드카드 보안 사고에 이어 나온 것으로, 당시 공격자들이 부적절하게 생성된 복구 문구를 악용해 수천 개의 비트코인 주소에 접근했다.

관련 기사: 트레조, 크립토빌리스 지갑 내 조작 의심 하드웨어 경고

트레조, 암호문을 128자로 확대

업데이트된 기능으로 사용자는 기존 50자 제한 대신 최대 128자 암호문을 만들 수 있다.

지원 기기는 트레조 모델 T, 세이프 3, 세이프 5, 세이프 7이다. 구형 모델 원은 여전히 최대 50자 암호문만 지원한다.

사용자는 트레조 스위트와 기기 펌웨어를 모두 업데이트해야 확장된 제한을 사용할 수 있다. 구버전 펌웨어를 실행 중인 기기는 이전 제한이 그대로 적용된다.

트레조 지원 문서에 따르면, 암호문은 선택적 보안 기능으로, 지갑 복구 문구와 함께 작동한다.

복구 문구는 암호화폐 지갑을 복원하는 데 필요한 정보를 제공하며, 추가 암호문은 다른 주소와 잔고를 가진 별도 지갑을 생성한다.

보호된 지갑에 접근하려면 원래 복구 정보와 소유자가 선택한 정확한 암호문이 모두 필요합니다.

사용자는 단일 단어, 긴 문구 또는 기타 지원되는 문자 조합 중 하나를 선택할 수 있습니다. 회사는 이 정보를 비공개로 유지하고 안전하게 저장할 것을 권장합니다.

서비스 제공업체를 통해 재설정 가능한 계정 비밀번호와 달리, 트레조 지갑의 암호문은 복구할 수 없습니다.

다른 암호문을 입력하면 다른 지갑이 열리며, 원래 지갑에 자금이 남아 있음에도 불구하고 해당 지갑은 빈 것으로 보일 수 있습니다.

콜드카드 공격으로 약한 지갑 복구 구문이 노출됨

트레조는 2026년 7월 공개된 콜드카드 공격과 이번 업데이트를 연계했는데, 당시 펌웨어 결함으로 일부 비트코인 복구 구문이 재구성에 취약해졌습니다.

/crypto.news가 이전에 보도한 바에 따르면, 콜드카드 펌웨어는 의도된 것보다 훨씬 낮은 무작위성을 갖는 복구 정보를 생성했습니다.

이 결함으로 영향을 받은 지갑 시드의 실질적 무작위성이 약 128비트에서 40비트로 감소했습니다.

공격자는 반복 계산을 통해 취약한 복구 구문을 재생성할 수 있어, 기기를 물리적으로 확보하지 않고도 지갑에 접근할 수 있었습니다.

7월 31일 공격 당시 약 25분 만에 500개 가량의 영향을 받은 지갑에서 약 594 BTC(3,800만 달러 상당)가 탈취되었습니다.

후속 조사에서 수천 개의 비트코인 주소와 관련된 추가 의심 사례가 확인되었습니다.

8월 12일까지 보도된 콜드카드 손실 추정액은 5,200개 이상의 주소에서 약 1.16억 달러에 달했습니다.

트레조는 일부 콜드카드 사용자가 공격자들이 손상된 복구 정보로부터 재구성할 수 없는 추가 암호문을 요구하는 지갑을 사용해 즉각적인 손실을 피했다고 밝혔습니다.

기반이 되는 복구 구문이 취약하더라도 강력한 암호문은 추가 보호를 제공했습니다.

긴 암호문은 신중한 저장이 필요함

비록 확장된 제한으로 더 많은 문자를 허용하지만, 트레조는 사용자가 암호문을 잊어버릴 경우 자금에 영구적으로 접근할 수 없게 될 수 있다고 경고했습니다.

대문자, 공백 등 모든 문자가 원래 입력과 정확히 일치해야 합니다.

회사의 안내에 따르면 암호문은 독립적인 지갑을 생성하므로, 작은 타이핑 오류라도 완전히 다른 계정을 표시할 수 있습니다.

따라서 사용자는 암호화폐를 해당 지갑으로 이체하기 전에 선택한 지갑을 다시 열 수 있는지 반드시 확인해야 합니다.

제조사는 암호문을 안전하게 기록하고 주기적으로 접근 테스트를 수행할 것을 권장합니다.

콜드카드는 7월 취약점에 대응해 업데이트된 펌웨어를 출시하고, 영향을 받은 고객에게 새 복구 문구 생성을 권고했다.

8월, 이 회사는 새로 생성되는 지갑 시드에 대한 추가 난수성 요구사항을 도입했다.

업데이트된 절차는 사용자가 키보드 입력, 주사위 굴리기 또는 동전 던지기 등을 통해 예측 불가능한 입력을 제공하도록 요구한다.

콜드카드는 수정된 펌웨어 설치로는 취약 버전으로 생성된 복구 문구가 복구되지 않음을 경고했다.

트레조르, 조작된 기기 관련 별도 경고 발표

이 암호문 공지사항은 이전 인증 판매처 크립토빌리스를 통해 유통된 하드웨어 월렛과 관련된 또 다른 보안 경고에 이어 발표됐다.

10월 30일, 트레조르는 인도네시아 구매자가 세이프 5 기기 내부에서 추가 회로 기판을 발견했다고 보고한 후 조작 의심에 대해 고객에게 경고했다.

회사에 따르면, 이 의심되는 삽입 장치는 지갑 복구 문구를 포함한 민감 정보를 수집할 수 있다.

트레조르는 사진을 검토하고 고객과 인터뷰했으나, 기기를 직접 점검하진 않았다고 밝혔다.

회사는 이 의심 개조와 관련된 확인된 암호화폐 손실은 보고되지 않았다고 밝혔다.

2026년 3월 이후 크립토빌리스를 통해 트레조르 월렛을 구매한 고객은 새 복구 문구로 만든 신규 지갑으로 자산을 이체할 것을 권고받았다.

트레조르는 조사 중인 영향 고객에게 교체 기기 또는 바우처 신청을 허용하며, 보안 연합의 SEAL 911 대응 서비스와 협력해 조사를 계속하고 있다.

더 읽기: USDC가 성장 중. 서클은 수익의 얼마를 보유하나?