Breaking down the Coldcard exploit & ramifications for self-custody

이 에피소드는 2021년 이후 기기에서 시드 생성(seed generation)을 손상시킨 Coldcard 하드웨어 지갑 익스플로잇을 다루며, 1,700 BTC 이상이 도난당했습니다. 게스트 Zack Herbert(Foundation)와 Jameson Lop(Casa)는 버그 발견, AI의 역할, 셀프 커스터디(self-custody)에 대한 영향, 그리고 오픈소스 모범 사례와 멀티 벤더 멀티시그(multi-vendor multisig)의 필요성에 대해 논의합니다. - Coldcard 익스플로잇 논의: 2021년에 도입된 엔트로피/시드 생성 코드의 버그가 무작위성을 약화시켜 시드를 크래킹할 수 있게 만들었습니다. - 1,700 BTC 이상이 Coldcard 기기에서 유출되었으며, 공격자는 스크립트를 사용해 자금을 유도하고 쓸어갔습니다. - AI 프론티어 모델(예: GPT 5.6 Soul)이 버그의 발견과 악용을 가속화한 것으로 여겨집니다. - Zack Herbert는 오픈소스가 탐지와 커뮤니티 대응에 여전히 중요하며, 폐쇄형 소스였다면 혼란이 더 길어졌을 것이라고 강조합니다. - Jameson Lop는 단일 벤더나 코드베이스는 무오류가 아니며, 멀티 벤더 멀티시그와 분산된 신뢰가 단일 실패 지점을 완화한다고 지적합니다. - 셀프 커스터디는 여전히 유효하지만 트레이드오프를 이해해야 하며, 책임은 보유 규모에 비례합니다. - 이 사건은 업계 전반의 코드 감사와 복잡한 하드웨어/소프트웨어 세계에서 '신뢰하지 말고 검증하라'는 원칙의 재평가를 촉발했습니다.