Coldcard 제조사 Coinkite, 펌웨어 취약점 의혹으로 피소
TREE NEWS 보도: 온타리오 고등법원에 제기된 집단 소송은 Coinkite가 제조한 Coldcard 하드웨어 지갑의 펌웨어 빌드 오류로 인해 약한 의사 난수 생성기(PRNG)가 도입되어 지갑 시드 문구를 예측 가능하게 만들었다고 주장합니다. 소송은 Coinkite와 공동 창립자 Rodolfo Novak 및 Peter D. Gray를 피고로 지목합니다. 소장에 따르면, 2021년 3월부터 사용된 결함 있는 펌웨어는 MicroPython의 Yasmarang PRNG로 전환되어 니모닉 생성의 무작위성을 손상시켰습니다. 공격자들은 2026년 7월 30일부터 이 결함을 악용하여 처음 25분 동안 약 594 BTC를 전송했으며 누적 손실은 1억 4천만 달러를 초과했다고 합니다. 소송은 또한 두 창립자가 늦어도 2025년 5월까지 결함을 인지하고 있었다고 주장합니다.
기술적 분석: PRNG 오류가 어떻게 1억 4천만 달러의 책임이 되었나
소송의 핵심은 MicroPython에 포함된 비암호학적으로 안전한 난수 생성기인 Yasmarang PRNG입니다. 이것이 니모닉 시드 생성에 사용되면 예측 가능한 출력을 생성하여 공격자가 개인 키를 무차별 대입하거나 재구성할 수 있습니다. 하드웨어 지갑은 오프라인에서 엔트로피를 생성해야 하기 때문에 신뢰받습니다. 그 과정의 결함은 자기 보관의 핵심 보안 모델을 훼손합니다. 594 BTC의 25분 도난은 사전 계산된 테이블이나 실시간 시드 크래킹을 사용한 고도로 자동화된 공격을 시사합니다.
업계 영향: 자기 보관에 대한 신뢰가 도전받다
이 소송은 안전한 암호화폐 저장의 금본위제로 자처해 온 하드웨어 지갑 업계에 불편한 질문을 던집니다. 선도적인 제조사가 약한 PRNG를 가진 펌웨어를 수년간 출하할 수 있다면, 광범위한 생태계에 어떤 의미가 있을까요? 공개 지연 의혹—창립자들이 2025년 5월까지 알고 있었지만 익스플로잇은 2026년에 발생—은 Coinkite에 대한 신뢰를 약화시키고 경쟁사로 확산될 수 있습니다. 규제 기관과 감사인은 암호화폐 기기의 엔트로피 생성에 대한 인증 표준을 확립하라는 압력을 받을 수 있습니다. 사용자에게 이 사건은 펌웨어 무결성을 검증하고 다중 서명 또는 에어갭 설정을 고려하는 중요성을 강조합니다.
앞으로: 법적 및 시장 파장
집단 소송은 손해 배상액을 명시하지 않았지만 1억 4천만 달러의 손실 규모는 높은 기준을 설정합니다. Coinkite는 이러한 주장에 공개적으로 응답하지 않았습니다. 결과는 법원이 회사의 펌웨어 개발 및 공개 관행에 과실이 있다고 판단하는지에 달려 있을 수 있습니다. 한편 암호화폐 커뮤니티는 하드웨어 지갑 제조사에 더 많은 투명성을 요구할 가능성이 높으며, 자기 보관을 위한 보험 상품이 주목받을 수 있습니다. 법적 절차가 진행됨에 따라 이 사건은 분산 금융 인프라의 책임에 대한 획기적인 사례가 될 수 있습니다.
