레저, 사용자 지갑에 숨겨진 하드웨어 임플란트 확인

암호화폐 지갑 조사 확대 속, 레저가 물리적 조작 사실 확인

10월 10일 토요일, 레저(Ledger)는 피해 고객의 기기에서 무단 하드웨어 삽입물이 발견되었음을 확인했으며, 이 사실은 동남아시아 리셀러인 크립토빌리스(CryptoBilis)와 관련된 최근의 지갑 자금 유출 사건에 대한 의혹에 상당한 신빙성을 더해주고 있다. 이 확인은 손실액이 9,340만 달러에 달한다는 추정치에 이어 나온 것이지만, 레저는 해당 수치를 독자적으로 검증하지는 않았다.

또한 레저는 자사의 보안 인프라가 여전히 온전하다고 주장하고 있어, 수사관들은 겉보기에는 정품처럼 보이지만 실제로는 침해되었을 가능성이 있는 기기를 다루는 다소 특이한 문제에 직면해 있다. 레저가 토요일에 발표한 성명은 피해 고객의 하드웨어 지갑에 대한 물리적 조작을 회사가 처음으로 공식 확인한 사례다. 제조사는 “피해 사용자 중 한 명의 기기에서 승인되지 않은 하드웨어 이식체가 발견되었다”고 발표했으며, 이는 악성 하드웨어가 개입되었음을 시사하는 지금까지 가장 강력한 증거를 수사관들에게 제공했다.

X 게시물에서 회사의 지원 계정은 “진행 중인 조사의 일환으로 영향을 받은 사용자들에게 연락을 취하고 있다”고 설명하는 한편, 관련 정보를 보유한 사람은 누구나 보상 프로그램에 연락해 줄 것을 당부했다. 크립토빌리스도 조치를 취했으며, 레저는 이 리셀러가 “조사가 종료될 때까지 모든 하드웨어 지갑 재고의 판매를 중단했다”고 보고했다. 이번 확인은 금요일 동남아시아 전역에서 지갑 자금이 모두 유출되었다는 보도가 나온 데 따른 것으로, 수사관들은 해당 지역에서 비트코인, 이더리움, 스테이블코인과 관련된 의심스러운 거래들을 추적했다. 독립적인 추산치는 상당히 차이가 나는데, Yfarmx는 471개 주소에서 9,340만 달러의 손실이 발생한 것으로 추정하는 반면, Bitquery는 311개의 고유 주소에서 약 9,290만 달러의 손실이 발생한 것으로 추정했다.

숨겨진 하드웨어, 지갑 보안에 대한 의문 제기

이번 발견은 전 Mt Gox CEO 마크 카르펠레스(Mark Karpelès)가 발표한 독립적인 조사 결과의 신빙성을 높여주는데, 그는 숨겨진 회로 기판, 셀룰러 통신 장비, 그리고 복구 문구를 가로챌 수 있는 것으로 추정되는 부품이 포함된 개조된 Ledger Nano X를 문서화한 바 있다.

이 의혹을 받는 수법은 특히 교묘했다. 보도에 따르면, 이 장비는 지갑의 보안 요소를 공격하는 대신 설정 과정에서 기기의 디스플레이로 전송되는 정보를 감시하여, 복구 문구를 캡처한 뒤 셀룰러 연결을 통해 전송했을 가능성이 있다. 이러한 방식은 겉보기에는 정품인 기기가 일반적인 검증 절차를 통과하는 동시에 소유자의 복구 문구를 은밀히 노출시킬 수 있게 한다. 그러나 수사 당국은 영향을 받은 모든 지갑에 유사한 장비가 포함되어 있었다는 사실을 확인하지는 못했습니다. 하드웨어 지갑 제조사인 레저(Ledger)는 조작된 하드웨어와 자사의 기본 보안 시스템을 구분하며, “레저의 보안 인프라, 시스템 또는 서비스가 침해되었다는 징후는 없다”고 밝혔습니다.

레저의 X 게시물은 많은 비판을 받았으며, 일부는 레저의 사태 대응 방식에 불만을 표했다. 해당 X 게시물에는 “피해자들에게 환불해 줄 건가요?”라고 묻는 여러 계정의 댓글이 달렸다. 다른 이들은 레저가 아웃소싱에 대한 책임을 져야 한다고 주장했다. “그들이 레저의 공식 공인 리셀러였으니, 이건 레저의 책임이 아닌가요? 피해자들에게 보상할 책임은 레저에게 있습니다,”라고 또 다른 사용자가 레저의 X 게시글에 댓글을 남겼다.

레저, 크립토빌리스 고객들에게 새로운 경고 발령

수사가 본격화됨에 따라 레저는 해당 리셀러를 통해 기기를 구매한 고객들에게 다시 한번 조언을 전했다. 회사는 피해를 입은 구매자들에게 “아직 설정을 시작하지 않았다면 설정을 시작하지 말 것”을 권고했다.

이미 지갑을 초기화한 고객들에게 레저는 “자산을 새로운 레저 시그너(새로운 시드 포함)로 옮기는 것을 고려하라”고 조언했다. 설정 과정에서 생성된 복구 문구는 해킹당한 하드웨어가 연결 해제된 지 오래 지난 후에도 자산을 노출시킬 가능성이 있기 때문에 이 구분이 중요하다.

레저는 또한 “더욱 강화된 변조 방지 솔루션을 개발 중”이라고 확인하며, 기존 점검을 회피할 수 있는 물리적 개조가 시급한 보안 문제로 대두되었음을 시사했습니다.

이 회사는 수사관들을 지원해 준 SEAL 911에 감사를 표하며 당국과 협력 중이라고 밝혔다. 한편, 레저는 고객들에게 “레저는 절대 24단어 복구 문구를 요구하지 않을 것”이라고 경고했다. 이러한 모든 전개에도 불구하고, 가장 큰 의문점들은 여전히 풀리지 않은 채 남아 있다. 현재 한 대의 장치가 해킹당한 사실은 확인되었지만, 추가로 심어진 장치의 수, 보고된 분실 사건과의 연관성, 그리고 책임자의 신원은 여전히 미해결 상태입니다. 비밀을 지키기 위해 제작된 장치에 또 다른 ‘귀’가 달려 있었던 것으로 보이며, 수사관들은 얼마나 많은 다른 이들이 이를 엿듣고 있었는지 여전히 파악 중입니다.