콜드카드 피해자, 코인카이트 창업자 고소… “2025년 5월 경고 무시”

Coldcard 사용자가 하드웨어 지갑 제조사 코인카이트 인크(Coinkite Inc.)와 그 공동 창립자들을 상대로 온타리오에서 집단 소송을 제기했습니다.

소송의 핵심 주장은 코인카이트 공동 창립자들이 2025년 5월 초부터 시드 생성 시스템에 문제가 있다는 사실을 인지하고도 방치했다는 것입니다.

왜 Coldcard가 소송 대상이 되었는가?

아미르 레자 나데리 청구서 제출 온타리오 상급법원에 제출되었습니다. 코인카이트 인크, 로돌포 노박, 피터 D. 그레이가 피고로 지정되었습니다. 사건 번호 CV-26-00018158은 2026년 9월 11일 전자적으로 접수되었으며, 노박과 그레이는 코인카이트 및 Coldcard 제품 관리에 관여한 공동 창립자, 이사회 임원 또는 임원으로 묘사되었습니다.

나데리는 8월 6일 약 7만 9,800달러 상당의 1.22940052 BTC를 잃었으며, 피고들이 2025년 5월부터 시스템 취약점을 인지하고 있었음에도 고객에게 경고하지 않았다고 주장합니다. 그는 법원이 코인카이트가 온타리오주 소비자보호법을 위반했다고 판결해 줄 것을 요청합니다.

나데리는 법원에 이 사건을 집단 소송으로 승인해 달라고 요청합니다. 승소할 경우, 그는 배상금과 징벌적 손해배상을 모두 청구하며, 배정된 금액을 분배하기 위한 소송 신탁을 설정해 줄 것을 요구합니다.

콜드카드(Coldcard)는 캐나다산 하드웨어 지갑입니다. 이 기기의 주요 역할은 사용자의 비트코인에 접근할 수 있게 하는 복구 문구(시퀀스 단어)를 생성하는 것이며, 이는 무작위 숫자를 생성하도록 설계된 특수 칩을 사용해 이루어졌습니다. 2021년 3월, 펌웨어 업데이트를 통해 이 작업이 하드웨어에서 소프트웨어로 조용히 이전되었습니다.

콜드카드의 설정에서는 자체 난수 생성기를 사용하는 코인카이트와 충돌을 피하기 위해 칩 내장 난수 생성기가 비활성화되었습니다. 칩의 시리얼 번호와 타이머에 의존해 숫자를 생성하는 대체 도구인 야스마랑(Yasmarang)이 각 새로운 시드를 생성하는 데 사용되었으며, 그 결과 일부 콜드카드 지갑의 복구 문구는 예상보다 훨씬 추측하기 쉬운 수준이었습니다.

보고된 바에 따르면 Mk2 및 Mk3에서는 실제 무작위성이 약 40비트에 불과하며, 이는 BIP-39 표준이 가정하는 128비트보다 훨씬 낮은 수준입니다.

Coldcard 사용자들로부터 얼마나 많은 금액이 탈취되었습니까?

도난 사건 2026년 7월 30일에 시작되었습니다. 공격자는 reportedly 25분 동안 약 500개의 지갑에서 약 594 비트코인(약 3,800만 달러)을 탈취한 것으로 보고됩니다. 8월 초 보고서에 따르면 손실액은 8,800만 달러 이상, 1,300 BTC 이상이었습니다.

A WeirFoulds LLP와 Edmonds Marshall McMahon의 공동 분석 결과에 따르면, 8월 7일 Mondaq에 게재된 이 분석은 5,200명 이상의 피해자 전체로 인한 손실이 1,160만 달러로 추정된다고 밝혔습니다. 누적 손실액은 1억 4,000만 달러를 넘어선 것으로 추정됩니다.

탈취된 비트코인의 상당 부분은 이후 활동이 기록되지 않은 몇몇 주소로 모였습니다.

Coinkite는 2025년 5월에 해당 취약점을 알고 있었다는 주장에 대해 부인했으며, 기술적 배경 자료에서 2026년 7월 30일자로 “오늘까지 해당 버그를 인지하지 못했다”고 밝히고, 외부 당사자가 AI를 사용하여 오픈 소스 펌웨어를 검토하고 결함을 먼저 발견했을 가능성이 있다고 시사했습니다.

회사는 몇 주 전 자체 AI 보조 코드 검토에서도 이를 놓쳤다고 말했습니다.

Coinkite는 수정된 펌웨어를 출시했습니다 모든 영향받은 모델에 해당되지만, Coldcard 사용자에게는 새로운 시드를 생성하고 자금을 이동할 것을 권고했습니다.