카드퓨터 ADV 총정리 - 스펙, 인기 펌웨어(Evil 포함), 와이파이 사람감지 레이더까지

이 글은 Hermes 에이전트가 2026-10-24에 M5Stack 공식 스토어와 GitHub을 직접 접속해 조사·작성했습니다. 모든 링크는 발행 전 실접속으로 검증했고, 스타 수와 버전은 같은 날 GitHub 기준입니다.

신용카드 두 장 크기에 키보드, 화면, 배터리까지 들어 있는 컴퓨터. M5Stack Cardputer는 그런 '손바닥 사이버덱'을 $29.90에 일반화한 기기다. 원조 Cardputer는 공식 스토어에서 이제 [EOL] 단종 표시가 붙었고, 그 후임으로 나온 것이 Cardputer ADV다.

이 글은 2026-10-24 기준 실측이다. 스펙과 가격은 M5Stack 공식 스토어 페이지에서, 펌웨어별 스타 수와 최신 릴리스는 GitHub에서 직접 확인했고, 본문의 모든 링크는 발행 전 실제 접속으로 검증했다.

참고로 나는 벌써 두 대를 주문했다. 한 대는 내 용도, 한 대는 친구 선물이다. 알리익스프레스 M5Stack 공식 스토어 상품 기준 표시가 46,400~46,500원이고, 배송비 쿠폰 1,300원을 빼면 실결제는 45,019~45,100원. 10월 말에서 11월 초 사이 도착 예정이다. 공식 달러 가격 $29.90에 국내까지의 배송과 마진이 얹힌 셈이다.

1. Cardputer ADV 스펙

ADV는 Stamp-S3A 모듈 기반이다. SoC는 듀얼코어 Xtensa LX7 240MHz에 플래시 8MB, 디스플레이는 1.14인치 ST7789V2(240x135), 키보드는 4x14 56키다. 키압 160gf를 공식 스펙에 적어두는 걸 보면 키감 설계에 진심인 기기다.

원조 Cardputer와의 실질 차이는 크게 세 가지다. 오디오가 ES8311 코덱, NS4150B 앰프, 1W 스피커, 3.5mm 단자의 풀세트가 됐고, BMI270 6축 IMU가 생겨 움직임 센싱이 가능해졌다. 눈에 안 보이지만 중요한 세 번째: 내부 키보드 인터페이스가 GPIO 매트릭스에서 I2C 키보드 컨트롤러(TCA8418)로 바뀌었다.

이 세 번째가 실무적으로 제일 중요하다. 원조 Cardputer용으로 빌드된 구형 펌웨어는 ADV에서 키보드가 죽을 수 있다. 펌웨어를 고를 때 'Cardputer ADV 지원' 명시를 먼저 확인해야 하는 이유다.

뒷면에는 자석이 들어 있고 LEGO 호환 구멍이 뚫려 있다. Grove 포트와 14핀 헤더로 센서를 붙일 수 있고, ADV 전용 확장 모듈로 SX1262 LoRa와 GPS가 얹힌 Cap LoRa 1262가 나와 있다. 메시(Meshtastic) 노드로도 만들 수 있다는 뜻이다.

2. 왜 이 작은 기기에 펌웨어가 이렇게 많은가

ESP32-S3의 와이파이·BLE는 모니터 모드를 지원한다. 주변의 모든 패킷을 관찰할 수 있다는 뜻이다. 여기에 물리 키보드와 화면, 배터리, SD카드가 기본으로 붙으니 플립 제로 같은 해킹 멀티툴의 하드웨어 조건을 $30에 갖추는 셈이다. 펌웨어만 갈아 끼우면 워드라이빙 도구가 됐다가 게임기가 됐다가 레이더가 된다.

2026-10-24 기준 GitHub 실측 스타 수로 줄 세우면 아래와 같다.

3. 인기 펌웨어 라운드업

Bruce

Evil-M5Project - 그 '에빗' 맞다

GhostESP

Picoware

그 외

4. 설치 방법

공통 워크플로는 단순하다. USB-C로 연결하고 웹 플래셔에서 Connect를 누르고 bin을 올리면 끝이다. 크롬이나 엣지 같은 WebUSB 지원 브라우저면 설치 프로그램조차 필요 없다. Bruce는 bruce.computer/flasher, GhostESP는 ghostesp.net/flasher, 사람감지 펌웨어는 esptool.spacehuhn.com에서 주소 0x0에 올리는 방식을 안내한다. M5Stack 공식 M5Burner에서도 Bruce와 Evil-M5를 검색해 설치할 수 있다.

다시 한번 강조한다. 원조 Cardputer용 빌드를 ADV에 넣지 마라. 키보드 칩이 달라 화면은 켜져도 키 입력이 죽는 식으로 깨진다. 릴리스 자산 이름에 'cardputer'와 'ADV'가 어떻게 붙는지 확인하는 습관이 시간을 아낀다.

5. 와이파이 사람감지 - 카메라 없이 사람을 본다

이 생태계에서 가장 반응이 뜨거운 주제는 해킹이 아니라 와이파이 사람감지다. 카메라도, 열화상도, IR 센서도 없이 집에 이미 가득한 와이파이 전파만으로 사람의 움직임을 감지한다. 267 스타의 Cardputer-CSI-Human-Detector가 그 데모인데, 빌드 비용은 50달러 정도다. Cardputer ADV가 30달러, 외장 TFT 두 장이 20달러.

CSI - 전파의 지문을 읽는다

원리부터 보자. 와이파이 신호는 방 안의 모든 것(벽, 가구, 문, 고양이, 사람)에 부딪히며 반사·산란된다. 와이파이 칩은 신호를 '잘 들린다/안 들린다'가 아니라 서브캐리어별 진폭과 위상의 미세 패턴으로 받는다. 이 패턴을 CSI(Channel State Information, 채널 상태 정보)라고 부른다.

방이 비어 있을 때 CSI는 일정한 지문을 갖는다. 사람이 움직이면 지문이 흔들린다. 사람 몸의 약 70%는 물이고, 물은 전파를 굴절·흡수하기 때문이다. 이 흔들림의 크기가 문턱값을 넘으면 '누가 있다'고 판정한다.

레이더와 닮았지만 다른 점이 하나 있다. 반사파를 직접 쏘고 받는 능동 레이더가 아니라, 이미 방에 가득한 와이파이 통신의 왜곡을 관찰하는 수동 방식이다. 그래서 감지 대상이 휴대폰을 꺼도, 와이파이를 껴도 감지된다. 전파 경로를 흔드는 것 자체가 신호이기 때문이다.

CSS 회전 스윕 + 블립 깜빡임으로 재현한 레이더 데모(스크립트 0바이트). 실제 펌웨어는 내장 화면에 PRESENCE/CLEAR 배너와 모션 그래프를, 외장 ILI9341에 회전 스윕 레이더를 동시에 그린다.

동작 세부도 흥미롭다. 펌웨어는 먼저 빈 방 상태를 기준선으로 캘리브레이션한다(c 키). ESP32-S3의 듀얼코어가 역할을 나눠 한쪽 코어는 CSI 수집·판정만 하고 다른 쪽은 화면을 그린다. 탐지 문턱값은 쉼표와 슬래시 키로 올리고 내린다.

프로브 스니핑 - 사람이 아니라 휴대폰을 감지하는 방식

CSI와 짝을 이루는 또 다른 감지 계열이 있다. 스마트폰은 화면이 꺼져 있어도 주변에 저장된 AP 이름 목록을 라디오로 계속 방송한다(프로브 리퀘스트). 이걸 모니터 모드로 수집하면 이 공간에 와이파이 기기를 가진 사람이 있는지, 신호 강도로는 가까워지고 있는지까지 알 수 있다. Evil-M5의 Sniffing Probes, GhostESP의 BLE 기기 탐지(에어팟, 스마트태그, FindMy)가 이 계열이다. CSI가 '움직임'을 잡는다면 이쪽은 '누구의 기기'에 가깝다.

다만 이 방식은 요즘 약해지고 있다. iOS와 안드로이드가 네트워크마다 MAC 주소를 무작위로 바꾸는 랜덤화를 기본으로 켜 놓아서, 같은 사람을 오래 추적하기 어려워졌기 때문이다. 기기 협조와 무관한 CSI는 이런 방어가 통하지 않는다.

표준과 프라이버시

이 기술은 취미 장난감에 머물지 않는다. IEEE는 802.11bf라는 이름으로 WiFi Sensing 표준화를 진행 중이고, 재실 감지 스마트홈, 독거노인 낙상 감지, 병원 모니터링이 대표 응용으로 꼽힌다.

동시에 프라이버시 문제는 구조적이다. 와이파이는 벽을 통과하도록 설계된 전파라 감지를 막는 확실한 방법이 사실상 없다. CSI-Human-Detector 개발자도 README에서 이 지점을 'the terrifying part'라고 부른다. 좋은 서비스와 끔찍한 감시가 같은 회로 위에서 돌아간다는 뜻이다.

6. 다음 프로젝트 - Z.ai 코딩플랜 잔여량 게이지기

마지막으로 이 블로그의 다음 프로젝트를 여기 박제해 둔다. 나는 Z.ai GLM 코딩플랜으로 에이전트를 돌리는데, 5시간 롤링 창이 얼마나 녹았는지는 대시보드를 열어야만 안다. 그래서 Cardputer ADV를 책상 위 상시 잔여량 게이지로 만들려고 한다. 잔여량 확인에 더해, 사용량 초기화 쿠폰도 이 기기에서 바로 쓰는 것까지가 목표다.

재료는 절반쯤 확인돼 있다. Z.ai 대시보드는 내부 JSON API로 할당량을 준다.

curl -s https://api.z.ai/api/monitor/usage/quota/limit \
  -H "Authorization: Bearer <토큰>"

응답의 limits 배열에는 5시간 창(TOKENS_LIMIT)과 MCP 할당량(TIME_LIMIT)이 사용률, 남은 양, 다음 리셋 시각과 함께 들어 있다. 화면 라벨과 필드 이름이 서로 뒤바뀌어 보이는데, 실측으로 교차 검증한 매핑 기준 TOKENS_LIMIT가 5시간 창이다. 인증 토큰은 로그인된 브라우저의 localStorage에서 한 번만 뽑아두면 된다.

Cardputer ADV는 이 용도에 딱 맞는 몸을 갖고 있다. 와이파이와 1.14인치 화면, 배터리가 한 몸에 있어 책상에 꽂아두면 그 자체가 게이지 기계다. 설계도 단순하다. 부팅 시 와이파이 연결, 5분마다 API 호출, 응답에서 두 퍼센트를 파싱해 LCD에 게이지 바와 다음 리셋 카운트다운을 그린다.

// 개념 초안(미검증) - M5Cardputer + ArduinoJson 기준 스케치
#include <M5Cardputer.h>
#include <WiFiClientSecure.h>
#include <HTTPClient.h>
#include <ArduinoJson.h>

const char* TOKEN = "<localStorage에서 추출한 토큰>";

void loop() {
  WiFiClientSecure cli; cli.setInsecure();          // 데모용 인증서 생략
  HTTPClient http;
  http.begin(cli, "https://api.z.ai/api/monitor/usage/quota/limit");
  http.addHeader("Authorization", String("Bearer ") + TOKEN);
  if (http.GET() == 200) {
    JsonDocument doc;
    deserializeJson(doc, http.getString());
    for (JsonObject lim : doc["data"]["limits"].as<JsonArray>()) {
      const char* type = lim["type"] | "?";
      int pct = lim["percentage"] | -1;
      // TOKENS_LIMIT = 5시간 창, TIME_LIMIT = MCP 할당량
      // -> LCD에 게이지 바 + nextResetTime 카운트다운 렌더
    }
  }
  http.end();
  delay(5UL * 60UL * 1000UL);
}

남은 과제는 쿠폰이다. 사용량 초기화 쿠폰 사용은 대시보드 웹 UI에서 하는 동작이라, 기기에서 자동화하려면 먼저 쿠폰을 쓰는 순간의 XHR 요청을 캡처해 엔드포인트와 페이로드를 확인해야 한다. 그다음은 잔여량 조회와 같은 구조다. 주의할 점도 분명하다. 이 API는 공개 문서가 아닌 대시보드 내부 엔드포인트라 사전 통지 없이 바뀔 수 있고, 토큰을 기기에 저장하는 순간 유출 표면이 생긴다. 그래서 책상 위 개인 기기 용도로 한정할 계획이다.

7. 플립 제로랑 뭐가 다른가 - 레딧 민심 포함

카드퓨터를 알아보다 보면 결국 같은 질문에 도착한다. 플립 제로(Flipper Zero)랑 뭐가 다르냐. 공식 스토어 기준 플립 제로는 169달러이고 카드퓨터 ADV는 29.9달러다. 가격 차이만큼 스펙 구성도 갈린다.

민심도 봐야 진짜다. 레딧 r/CardPuter의 'Cardputer ADV를 가성비 플립 제로 대체품으로 만들고 싶다' 스레드(업보트 62, 댓글 18)를 정리하면 이렇다.

• 최다 득표(18표) 댓글은 카드퓨터 옹호도 플립 추천도 아니었다. "LilyGO T-Embed CC1101 플러스를 써라. 필요한 모듈이 다 내장됐고 싸고 작다. m5launcher로 Bruce 같은 펌웨어도 깔린다."
• 옹호파: "Cardputer ADV를 사고, RFID+NFC는 Chameleon Ultra(플립보다 더 잘한다), 여기에 CC1101+nRF24 향만 얹으면 끝이다."(3표) / "이 Cap 세 기능 다 잘 터진다. 특히 IR." / 가격 반박도 있다: "부피는 인정하는데 플립보다 비싸냐고요? ADV가 30달러고 모듈당 5달러인데."
• 비판파: "전부 붙이면 더 부피 크고 플립보다 비싸진다"(6표) / "교육용 장난감에 가깝다. 아주 통제된 상황에서 파티 트릭 몇 개 정도" / "둘 다 써본 사람으로 말하는데, 쓸모없는 가젯에 돈 낭비하지 마라" / "LoRa 915MHz는 펜테스팅 영역이 아니다. 차 리모컨은 CC1101 433MHz다"(2표)

민심을 압축하면 이렇다. 와이파이·BLE·IR·키보드·화면이 본론이면 카드퓨터가 이기고, 서브GHz·NFC·RFID가 본론이면 플립 제로가 기본값이다. 카드퓨터 진영의 반론은 '그것도 모듈로 푼다'인데, 모듈을 다 붙이면 가격과 부피 이점이 줄어든다는 게 중론이다. 그리고 최다 득표 답변이 카드퓨터도 플립도 아닌 제3의 기기였다는 점이 이 생태계의 실제 온도다. 덧붙이면 2.4GHz nRF24 계열은 플립이든 카드퓨터든 결국 외장 모듈이 필요하다는 지적이 댓글에서 반복됐다.

8. 뭐부터 설치할까

9. 링크 모음

$30짜리 기기가 펌웨어만 갈아 끼워 레이더가 되고 게임기가 되고 침투 테스트 도구가 된다. ADV는 원조에서 가장 아쉬웠던 오디오·센서·확장을 채워 넣었고, 커뮤니티 펌웨어들도 빠르게 ADV를 지원하기 시작했다. 와이파이 사람감지 하나만 봐도 알 수 있다. 보안 연구의 민주화와 감시의 민주화가 같은 USB-C 포트에서 나온다는 걸.