암호화폐 해커들이 Ngrave 알림 시스템을 탈취해 256만 달러를 훔쳐 달아났다

256만 달러의 대가를 치른 가짜 보안 경고

일반적으로 NGRAVE로 알려진 벨기에의 하드웨어 지갑 제조사 Ngrave는 10월 19일, 공격자들이 자사의 LIQUID 동반 앱을 지원하는 제3자 알림 제공업체를 탈취했다고 밝혔다. 이 침해 사고로 인해 범죄자들은 10월 17일 고객들에게 진짜처럼 보이는 보안 경고를 직접 보낼 수 있게 되었다. 이 메시지는 사용자의 포트폴리오가 모스크바에 있는 픽셀 9 기기와 동기화되었다고 주장했습니다. 경고를 클릭하면 카운트다운 타이머가 표시되고, 의심스러운 활동을 승인하거나 거부하라는 불길한 선택지가 있는 가짜 Ngrave 웹사이트가 열렸습니다.

두 선택지 모두 동일한 함정으로 이어졌습니다. 사용자는 24단어 복구 문구나 퍼펙트 키(Perfect Key)를 입력하라는 안내를 받았으며, 이로 인해 공격자들은 지갑을 재구성하는 데 필요한 모든 정보를 확보하게 되었습니다. 자동화된 스크립트를 통해 해킹당한 계좌의 자금은 몇 분 만에 모두 털렸습니다. Ngrave의 조사 결과, 4개 네트워크에 걸쳐 70개의 지갑 주소에서 약 256만 달러가 도난당한 것으로 확인되었습니다. 이 중 비트코인이 177만 달러를 차지했으며, 그 다음으로 XRP 45만 4천 달러, 이더리움 기반 자산 31만 6천 달러, 스텔라 1만 8천 달러 순이었습니다.

공격자들은 하드웨어가 아닌 알림 키를 악용했다

이 회사의 사고 보고서에 따르면, 무단 접근은 사기성 알림이 나타나기 6일 전인 10월 11일부터 시작된 것으로 추정된다. 공격자들은 하나의 접근 키를 확보한 뒤, 이를 활용해 특정 분석 정보에 대한 접근 권한을 포함한 더 광범위한 권한을 가진 또 다른 키를 획득했다. Ngrave는 10월 17일 오후 9시 30분(UTC)에 악성 알림이 나타난 지 1분 만에 이를 감지했다. 그럼에도 불구하고 첫 번째 지갑은 6분 후에 자금이 모두 탈취당했다.

회사는 오후 10시 45분까지 알림 시스템을 중단시켰으나, 이미 해킹당한 지갑을 통한 도난은 다음 날 오전 3시 51분까지 계속되었다. 중요한 점은 Ngrave가 자사의 ZERO 하드웨어 지갑과 개인 키는 전혀 침해되지 않았다고 주장한다는 것이다. 범죄자들은 대신 고객들을 속여 자신의 인증 정보를 넘기도록 유도했다.

Ngrave 최고경영자, 회사의 ‘완전하고도 철저한 실패’ 인정

도난당한 자금은 거래소, 블록체인 브리지, 그리고 새로 생성된 주소들을 거쳐 이동했다. Ngrave는 비트코인이 12개의 주소로 이동한 것을 추적했으며, XRP는 54차례의 이체를 거쳤다. 또한 회사는 기기 정보, 지갑 활동 내역, IP 주소, 대략적인 위치 정보가 유출되었을 가능성을 인정하며, 향후 표적형 사기 발생에 대한 우려를 제기했다.

분석 업체 비트쿼리(Bitquery)도 이 사안에 대한 보고서를 발표하며, 도난 자금과 관련해 “대부분이 현재 하이퍼리퀴드(Hyperliquid)에 모네로(Monero) 토큰 형태로 보관되어 있다”고 언급했다. Bitquery 보고서는 약 81%가 인기 있는 DEX 거래소인 Hyperliquid로 유입된 것으로 추정했다. 사고 보고서에서 Ngrave의 고위 임원이 이 문제에 대해 언급했다. 이 회사의 CEO는 이례적으로 솔직한 평가를 내놓으며 다음과 같이 말했다.

“제 개인적인 견해로는, 암호화폐 보안 회사의 첫 번째 의무는 바로 ‘보안’을 제공하는 것입니다. 이 점에서 우리는 절대적이고 완전한 실패를 저질렀습니다.”

그는 몇 달 전 경영권을 인수했을 당시 회사의 보안 태세가 미흡했음을 인정했다. 이후 Ngrave는 유출된 키를 교체하고, 2인 승인 절차, 도메인 제한, 비상 중단 기능 등을 포함한 더욱 엄격한 알림 통제 방안을 마련했다.

영향을 받은 고객들에게는 새로운 지갑을 생성하고 고객 지원팀에 연락할 것을 권고하고 있다. 조사는 계속되고 있지만, 하드웨어 자체는 견고했으나 이를 둘러싼 신뢰할 수 있는 메시지가 오히려 무기가 되어버렸다는 우려스러운 사실은 여전히 남아 있다.

2026년은 보안 문제가 끊이지 않아 하드웨어 지갑 제조사들에게 힘든 한 해였습니다. Ledger, Trezor, Tangem, Safepal, Bitbox02, Coldcard 등이 연루된 하드웨어 지갑 보안 사고가 거의 12건이나 기록되었습니다. 두 건의 사고로 보고된 손실액은 1억 8천만 달러를 넘어섰으며, 이는 복구 문구에 대한 직접적인 원격 공격보다는 펌웨어, 제3자 공급업체, 물리적 보안, 피싱 공격 등에서 취약점이 드러난 결과였습니다.