Coldcard 하드웨어 지갑의 보안 결함과 소송
Coldcard 하드웨어 지갑의 5년 된 보안 결함으로 인해 제조업체 Coinkite가 소송에 휘말렸다. 공격자들은 1억 4천만 달러 이상의 비트코인을 탈취했다고 주장하고 있다. 제기된 집단 소송은 이 장치들이 예측 가능한 복구 구문을 생성하여 고객들이 도난에 노출되었다고 주장한다.
2026년 9월 11일 온타리오 주 고등법원에 제출된 집단 소송은 토론토에 본사를 둔 Coinkite Inc.와 공동 창립자인 Rodolfo Novak 및 Peter D. Gray를 피고로 지목하고 있다.
원고인 Amir Reza Naderi는 로스앤젤레스 거주자로, 2021년 3월에 출시된 결함 있는 펌웨어 업데이트가 Coldcard 지갑의 보안을 5년 이상 손상시켰다고 주장하고 있다. 소송은 이 장치들이 “장치의 전체 목적과 기능을 저해하는” 취약점을 포함하고 있다고 명시하고 있다.
Coldcard 지갑의 기능과 결함
Coldcard 지갑은 비트코인을 보호하기 위해 비밀 복구 구문, 일반적으로 시드 구문이라고 불리는 것을 생성하도록 설계되었다. 이 단어들은 소유자가 장치를 잃거나 손상되었을 때 자금을 복구할 수 있도록 해준다. 그러나 고소장은 소프트웨어가 진정으로 무작위인 구문 대신 예측 가능한 구문을 생성하여 공격자들이 지갑을 물리적으로 소유하지 않고도 개인 키를 재생성할 수 있게 했다고 주장한다.
이 문제는 “빌드 및 링크 통합 오류“에서 발생했으며, 이로 인해 영향을 받은 장치들이 의도된 하드웨어 기반 난수 생성기 대신 Micropython의 Yasmarang 소프트웨어 생성기를 사용하게 되었다. 쉽게 말해, 이 장치들은 고객이 약속받은 것보다 훨씬 쉽게 추측할 수 있는 보안 코드를 생성했다고 한다.
소송의 배경과 결과
공격자들은 2026년 7월 30일부터 이 약점을 이용하기 시작했으며, 단 25분 만에 약 594 BTC, 즉 3천800만 달러를 탈취했다고 주장하고 있다. 이후의 도난 사건으로 인해 소송의 추정 손실액은 1억 4천만 달러를 넘어섰다. Naderi는 8월 6일 무단 이체를 통해 약 79,764달러에 해당하는 1.22940052 BTC를 개인적으로 잃었다고 주장하고 있다.
고소장에는 비트코인 엔지니어 James O’Beirne가 2025년 5월에 Coinkite에 이 취약점에 대해 경고했으며, 도난 사건이 시작되기 1년 이상 전에 경고했다고 주장하고 있다.
암호화폐 지갑 제조업체 Coinkite는 7월 30일에 이 취약점을 공개하고 다음 날 수정된 펌웨어를 출시했다. 그러나 업데이트된 소프트웨어만으로는 이전에 생성된 복구 구문을 보호할 수 없었다. 고객들은 또한 새로운 구문을 생성하고 비트코인을 이전해야 했다.
소송의 주요 쟁점
소송은 Coinkite가 고객의 연락처 정보를 보유하고 있음에도 불구하고 영향을 받은 고객들에게 직접 통지하지 않았다고 주장하고 있다. 또한 소비자 보호법이 소송 및 보상을 제한하는 조항을 무효화한다고 주장하며 회사의 계약적 책임 제한에 도전하고 있다. 제안된 집단은 Coldcard Mk2, Mk3, Mk4, Mk5 및 Q 장치의 개인 사용 구매자를 포함한다.
원고들은 보상 손해, 징벌적 손해 및 기타 구제를 요구하고 있다. 이 사건은 제안된 집단 소송 상태로 남아 있으며, 그 주장은 법원에서 입증되지 않았다. 손해 배상이 이루어지지 않았다.
영향을 받은 고객들에게 핵심 질문은 비트코인 도난에 대한 보호를 판매하는 회사가 자사의 보안 소프트웨어가 문제를 일으켰을 때 재정적으로 책임을 질 수 있는가이다. Bitcoin.com News는 소송 및 그 주장에 대한 Coinkite의 의견을 요청했다. 회사는 발표 시점까지 응답하지 않았지만, 이후에 받은 어떤 성명도 이 보고서에 추가될 것이다.
Coinkite는 Coldcard의 뒤에 있는 회사로, 시드 생성 코드의 취약성으로 영향을 받은 하드웨어 지갑이다. 법적 문제에 직면할 수 있다.
