코인카이트, 이메일 계속 보관했다…'90일 후 삭제' 약속과 달랐다
비트코인(BTC) 하드웨어 지갑 콜드카드(Coldcard)를 만드는 코인카이트(Coinkite)가 구매자 이메일을 계속 보관해온 사실이 알려지며 개인정보 처리 방침을 둘러싼 논란에 휩싸였다. 회사는 2019년 이후 구매자들에게 보안 경고 메일을 보내왔는데, 이는 로돌포 노박(Rodolfo Novak) 코인카이트 공동창업자 겸 최고경영자(CEO)가 그동안 밝혀온 데이터 보관 방침과 배치된다.
비트코인닷컴 뉴스는 2일(현지시간) 코인카이트가 콜드카드 보안 결함과 관련해 고객들에게 비트코인을 잃을 위험이 높다고 경고하는 이메일을 발송했다고 전했다. 노박 CEO는 그간 △회사가 고객 정보를 저장하지 않으며 △구매 후 90일이 지나면 관련 정보를 삭제하고 △신원 확인 없이 익명으로 구매할 수 있는 옵션도 제공한다고 밝혀왔다. 하지만 이번 경고 메일 발송으로 회사가 실제로는 오래전 구매 기록의 이메일 주소까지 보유하고 있었다는 사실이 드러났다. 회사 측은 로그인 인증과 특정 거래 확인 등 운영 목적으로 구매자 이메일을 보관하고 있으며, 별도의 삭제 일정 없이 "당분간(for now)" 계속 보유하겠다고 인정했다.
이번 논란은 콜드카드의 심각한 보안 결함이 알려진 직후 불거졌다. Mk2·Mk3 기기에서 시드 문구 생성에 쓰이는 난수(엔트로피)가 충분히 무작위하지 않다는 결함이 공개되며, 약 3800만 달러(약 530억원) 규모 비트코인 도난 사건과의 연관 가능성이 제기된 바 있다. 이후 피해 규모 추정치는 계속 늘었다. 갤럭시 리서치(Galaxy Research) 집계에 따르면 1일(현지시간) 오후 5시36분 기준 피해 규모는 1367 BTC, 약 8800만 달러(약 1226억원)로 집계됐다.
결함이 알려진 뒤 시장에서는 자기보관(셀프커스터디) 지갑의 안전성에 대한 우려가 커졌다. 실제로 콜드카드 해킹 이후 비트코인 자금이 거래소 밖으로 빠져나가던 흐름이 되레 거래소로 유입되는 방향 전환이 나타나기도 했다. 코인카이트는 영향을 받는 펌웨어에서 시드를 생성한 이용자에게 패치된 펌웨어로 업그레이드하고 새 시드를 만들어 자산을 옮길 것을 권고해왔다.
이번 이메일 보관 논란은 이 같은 보안 위기 대응 과정에서 불거졌다는 점에서 파장이 크다. 회사가 위기 상황에서 고객에게 연락할 수단을 확보하기 위해 정보를 유지했다는 설명은 가능하지만, 그동안 내세운 '무보관·익명성' 방침과는 어긋난다는 지적이 나온다. 하드웨어 지갑 이용자들이 가장 중요하게 여기는 가치가 익명성과 프라이버시라는 점에서, 이번 논란은 코인카이트의 신뢰도에 직접 타격을 줄 수 있다는 우려도 나온다.
정확한 해킹 피해 경위와 최종 규모, 코인카이트의 데이터 보관 정책 변경 여부는 아직 확인되지 않았다.
<저작권자 ⓒ TokenPost, 무단전재 및 재배포 금지>
많이 본 기사
