'안전지대' 무너진 비트코인 콜드월렛… 코인카이트 집단소송 직면

비트코인(BTC) 생태계에서 가장 신뢰받는 하드웨어 지갑 중 하나로 꼽히던 '콜드카드(Coldcard)'가 치명적인 펌웨어 난수 결함으로 인해 대규모 해킹 피해를 야기하며 법적 심판대에 올랐습니다.

22일(현지시간) 캐나다 유력 일간지 더글로브앤드메일 등에 따르면, 콜드카드 이용자인 아미르 레자 나데리는 온타리오주 고등법원에 제조사인 코인카이트와 공동 설립자 로돌포 노박, 최고기술책임자 피터 D. 그레이를 상대로 집단소송 소장을 공식 제출했습니다.

원고 측에 따르면 나데리는 지난 8월 6일 자신이 관리하던 7개 비트코인 주소에서 1.2294BTC(도난 당시 기준 약 7만 9764달러)가 해커에게 무단 유출되는 피해를 입었습니다. 원고는 직접 코인을 도난당한 피해자 그룹뿐 아니라, 잠재적 위험에 노출된 결함 지갑을 구매한 전체 소비자를 대변해 피해 배상과 제품 교체를 요구하고 있습니다.

진성난수 대신 취약한 의사난수 사용… 나흘 만에 1816BTC 증발

사건의 핵심 원인은 5년 전인 2021년 3월 배포된 지갑 펌웨어의 엔트로피 생성 알고리즘 결함으로 밝혀졌습니다.

코인카이트의 자체 기술 보고에 따르면 빌드 파이프라인 오류로 인해 하드웨어 보안 칩의 진성난수생성기(TRNG) 대신 예측 가능한 의사난수생성기(PRNG)가 호출됐습니다. 이로 인해 암호학적으로 무작위성을 확보해야 할 시드 구문(개인키)의 패턴이 단순화되면서, 해커가 기기나 서명에 물리적으로 접근하지 않고도 공개된 주소로부터 개인키를 무차별 대입해 역산할 수 있는 보안 구멍이 발생했습니다.

온체인 포렌식 분석 기업 TRM랩스는 지난 7월 30일 해커의 최초 자금 탈취가 시작된 지 불과 25분 만에 500개 지갑에서 594BTC가 순식간에 털려나갔다고 분석했습니다. 이후 나흘 동안 이어진 네 차례의 집중 공격을 통해 5200개가 넘는 취약 주소에서 총 1816BTC(당시 시세 기준 약 1억 1600만 달러, 피해 주장액 1억 4000만 달러 이상)가 탈취된 것으로 파악됐습니다.

"2025년 개발자 보고서 묵살" vs "사전 인지 못했다"

소송의 최대 쟁점은 제조사의 '사전 인지 여부'와 '고의적 방치' 여부입니다.

소장에 따르면 비트코인 전문 개발자인 제임스 오번은 2025년 5월 이미 코인카이트 측에 콜드카드의 난수 생성 메커니즘에 중대한 결함이 존재한다는 기술 분석 보고서를 전달한 것으로 드러났습니다. 원고 측은 제조사가 1년 이상 경고를 묵살한 채 결함 제품을 시장에 지속 유통해 피해를 키웠으며, 이는 소비자보호법 위반이자 중과실에 해당한다고 주장하고 있습니다.

이에 대해 코인카이트는 실제 자금 탈취 사고가 발생하기 전까지는 결함을 명확히 인지하지 못했다며 책임을 부인하고 있습니다. 회사는 사고 직후 결함 기기 출하를 중단하고 보안 패치를 배포했으나, 이미 생성된 시드 구문은 펌웨어 업데이트만으로 복구되지 않아 사용자들에게 자산을 완전히 새로운 지갑으로 이전하라는 비상 공지를 띄운 상태입니다.

법조계에서는 제조사가 약관을 통해 배상 범위를 기기 구매 가격으로 제한한 면책 조항의 효력이 법원에서 인정받을 수 있을지 주목하고 있습니다. 원고 대리인단은 "가장 큰 과제는 천문학적인 피해 규모에 비추어 볼 때 피해자들이 실질적으로 도난당한 비트코인 가치를 회수할 수 있는 재원을 확보하는 것"이라며 제조사와 설립자 개인에 대한 민사 책임을 끝까지 묻겠다고 강조했습니다.

면책 조항: 이 기사는 정보 제공을 목적으로 작성되었으며, 가상자산 및 금융투자상품 매매에 대한 투자 권유나 법적 자문 책임을 지지 않습니다.



출처: https://blockchaintoday.co.kr/news/articleView.html?idxno=66416