콜드카드 피해 회수, 제품소송·자산추적 검토

FTX·셀시우스·마운트곡스(Mt. Gox) 등 크립토 파산 청구권 시장에 관여해 온 117 Partners가 콜드카드(Coldcard) 보안 사고 피해 회수를 위해 두 가지 법적 경로를 검토하고 있다. 제조사에 책임을 묻는 제품 소송과 탈취 자산을 추적하는 방식이다.

토머스 브라지엘(Thomas Braziel) 117 Partners 창업자가 코인카이트(Coinkite) 보안 사고의 후속 대응 방안을 제시했다고 포어사이트뉴스(Foresight News)는 3일 보도했다. 아직 실제 소송이 제기되거나 피해자 모집과 소송 금융이 확정된 단계는 아니다.

첫 번째 경로는 캐나다에서 코인카이트를 상대로 제품 책임 집단소송을 검토하는 방안이다. 결함 있는 보안 제품 판매와 고객 손실 사이의 인과관계를 입증해 제조사에 책임을 묻는 구조다.

브라지엘은 소송 기간을 1~3년으로 제시했다. 피해자가 변호사 선임 비용을 먼저 내지 않고 승소금 일부를 나누는 수임 방식도 거론했다.

두 번째 경로는 해커 지갑과 중간 계좌를 추적해 자산을 회수하는 방식이다. 미국 법원에 임시제한명령(TRO)을 신청한 뒤 탈취 자산을 보유했거나 자금 이동에 관여한 제3자를 상대로 판결과 회수를 추진하는 방안이다.

TRO는 법원이 본안 판단을 내리기 전에 자산 이전이나 특정 행위를 잠정적으로 제한하는 명령이다. 이 경로에는 소송 금융이 필요할 수 있으며 실제 회수 여부는 자산 추적과 법원 판단에 달려 있다.

콜드카드는 캐나다 토론토 소재 코인카이트가 만드는 비트코인(BTC) 전용 하드웨어월렛이다. 개인키를 오프라인에 보관하며 펌웨어 소스와 재현 가능한 빌드 절차를 공개하고 있다.

이번 사고의 기술적 쟁점은 시드 생성에 사용된 난수의 결함이다. 코인카이트는 7월 30일 보안 공지를 공개했고 8월 1일 관련 내용을 갱신했다.

영향 대상에는 Mk2·Mk3의 펌웨어 4.0.1~4.1.9 버전에서 생성된 시드가 포함된다. Mk4·Mk5와 Q도 수정 펌웨어가 나오기 전 버전에서 생성한 시드가 영향을 받을 수 있다.

코인카이트는 펌웨어 업데이트가 이미 생성된 시드까지 복구하지는 못한다고 밝혔다. 취약 펌웨어에서 만든 시드로 보관 중인 자금은 새 시드를 생성해 이전해야 한다고 안내했다.

최소 50회의 독립적이고 비공개적인 주사위 굴림을 추가해 시드를 만들었다면 이번 난수 생성 문제만으로 위험하다고 보지 않는다는 것이 회사 측 설명이다. 다만 횟수나 생성 방식이 불확실하면 새 시드로 이전해야 하며 TAPSIGNER·OPENDIME·SATSCARD는 다른 코드베이스를 사용해 이번 버그의 영향을 받지 않는다.

7월 30일 41분 동안 1196개 지갑에서 1000BTC 이상이 빠져나갔다는 갤럭시 리서치(Galaxy Research)의 온체인 분석도 나왔다고 뉴욕포스트(New York Post)는 전했다. 추가 의심 흐름을 포함한 피해 추정액은 약 8900만 달러(약 1283억원)지만 모든 지갑이 취약 펌웨어에서 생성됐는지는 확인되지 않았다.

본지는 앞서 콜드카드 관련 도난 피해가 1367BTC로 확대된 정황을 보도했다. 이번 검토안은 기술적 대응을 넘어 제조사 책임과 법원을 통한 자산 회수 절차를 제시했다는 점에서 앞선 보도의 후속 내용이다.

FTX와 셀시우스 사건은 파산재단과 채권자 배분이 회수 절차의 중심이었다. 콜드카드 사건에서는 제품 결함과 손해 사이의 인과관계 입증, 탈취 자산의 이동 경로와 관할권이 함께 다뤄지게 된다.