콜드카드 지갑 결함으로 1억 4천만 달러 비트코인 유출, 코인카이트 소송

콜드카드 보안 결함으로 1억 4천만 달러 소송 촉발

2026년 9월 11일 온타리오주 고등법원에 제기된 집단 소송은 토론토에 본사를 둔 코인카이트(Coinkite Inc.)와 공동 창업자인 로돌포 노박(Rodolfo Novak), 피터 D. 그레이(Peter D. Gray)를 피고로 지목했다. 로스앤젤레스 거주자인 원고 아미르 레자 나데리(Amir Reza Naderi)는 2021년 3월에 배포된 결함이 있는 펌웨어 업데이트로 인해 5년 넘게 콜드카드 지갑의 보안이 훼손되었다고 주장한다.

소장에 따르면 해당 기기에는 “기기의 전체적인 목적과 기능을 훼손한” 취약점이 존재했다고 한다. 콜드카드 지갑은 일반적으로 시드 문구라고 불리는 비밀 복구 문구를 생성하여 비트코인을 보호하도록 설계되었다. 이 문구들을 통해 소유자는 기기를 분실하거나 파손당했을 때 자금을 복구할 수 있다.

그러나 소장에 따르면 해당 소프트웨어는 진정한 무작위 문구 대신 예측 가능한 문구를 생성하여, 공격자가 지갑을 물리적으로 소유하지 않고도 개인 키를 재구성할 수 있게 했다고 주장한다.

단 하나의 펌웨어 오류, 수천 개의 취약한 지갑

이 문제의 원인은 “빌드 및 링크 통합 오류”로, 이로 인해 해당 기기들이 의도된 하드웨어 기반 난수 생성기 대신 마이크로파이썬(Micropython)의 야스마랑(Yasmarang) 소프트웨어 생성기를 사용하게 되었다. 쉽게 말해, 해당 기기들은 고객들에게 약속된 것보다 훨씬 추측하기 쉬운 보안 코드를 생성한 것으로 알려졌다.

공격자들은 2026년 7월 30일부터 이 취약점을 악용하기 시작했으며, 불과 25분 만에 3,800만 달러 상당의 약 594 BTC를 훔친 것으로 알려졌다. 이후 발생한 추가 도난 사건들로 인해 소송에서 추정되는 손실액은 1억 4,000만 달러를 넘어섰습니다. 나데리(Naderi)는 8월 6일 무단 이체로 인해 개인적으로 1.22940052 BTC(약 79,764달러 상당)를 잃었다고 주장합니다.

소장에 따르면, 비트코인 엔지니어 제임스 오베어른(James O’Beirne)은 도난 사건이 시작되기 1년 이상 전인 2025년 5월에 이미 코인카이트 측에 해당 취약점에 대해 경고한 것으로 알려졌다.

코인카이트에 대한 조사가 진행되는 가운데 원고 측, 손해배상 청구

암호화폐 지갑 제조사 코인카이트는 7월 30일 해당 취약점을 공개하고 다음 날 수정 펌웨어를 배포했다. 그러나 업데이트된 소프트웨어를 설치하는 것만으로는 이전에 생성된 복구 문구를 보호할 수 없었다. 고객들은 새로운 복구 문구를 생성하고 비트코인을 이전해야 했다. 소송에서는 코인카이트가 피해 고객들의 연락처 정보를 보유하고 있음에도 불구하고 직접 통지하지 않았다고 주장하고 있다.

또한 이 소송은 소비자 보호법이 소송 및 배상을 제한하는 조항보다 우선한다고 주장하며, 회사의 계약상 책임 제한 조항에 이의를 제기하고 있다. 제안된 집단 소송 대상에는 Coldcard Mk2, Mk3, Mk4, Mk5 및 Q 기기를 개인 용도로 구매한 소비자들이 포함된다. 원고들은 실제 손해배상, 징벌적 손해배상 및 기타 구제 조치를 청구하고 있다.

이 사건은 아직 제안된 집단 소송 단계에 머물러 있으며, 제기된 주장은 법원에서 입증되지 않았습니다. 아직 배상금이 지급된 바 없습니다. 피해를 입은 고객들에게 있어 핵심 쟁점은, 비트코인 도난 방지 서비스를 판매하는 회사가 자사의 보안 소프트웨어가 오히려 도난의 문을 열어주었다는 의혹이 제기될 경우, 재정적 책임을 질 수 있는지 여부입니다.

Bitcoin.com News는 이번 소송 및 관련 주장에 대한 입장을 듣기 위해 코인카이트(Coinkite) 측에 연락을 취했다. 기사 게재 시점까지 해당 회사는 답변하지 않았으나, 이후 성명이 접수될 경우 본 기사에 추가될 예정이다.