CZ, BNB 생태계에 9,290만 달러 규모 Ledger 리셀러 피해 자금 추적 협조 요청

5개 네트워크에서 9,290만 달러 인출

Ledger가 조사 중인 지갑 탈취 사건의 피해 규모가 온체인 분석 기준 9,290만 달러로 확정됐다. 피해는 Bitcoin, 알트코인 네트워크인 TRON, BNB Chain, Polygon 등 5개 네트워크의 311개 지갑에서 발생했다. 사건은 10월 9일 금요일 연구자들이 피해자 지갑의 자금 유출 추적을 시작하면서 표면화됐다. 피해자는 인도네시아, 말레이시아, 필리핀의 공식 유통사로 등재된 리셀러 CryptoBilis를 통해 하드웨어 지갑을 구매한 동남아시아 고객들이었다. 초기 추산은 피해액이 7,200만 달러를 넘는 수준이었으나, 거래 그래프를 다시 분석한 결과 총액이 9,290만 달러로 상향됐다. Ledger는 조사 결과가 나올 때까지 CryptoBilis에 모든 판매와 출하를 중단하도록 요청했으며, 고객 지원 계정을 통해 최근 90일 이내 리셀러에서 구매한 이용자에게 예방 조치 안내를 배포했다. 요점은 미개봉 기기를 초기화하지 말라는 것, 이미 설정을 마쳤다면 새 시드를 적용한 새 서명기로 자산을 옮기는 것을 검토하라는 것이다. Binance 창업자 창펑 자오(Changpeng Zhao), 이른바 CZ는 당시 확보된 정보가 특정 유통사 하나에 국한된 공급망 사건을 가리키며, 소수 구매자가 가품 또는 변조된 기기를 받았을 가능성이 있다고 말했다. 그는 X 게시물에서 BNB 생태계 구성원과 업계 전체에 피해 자금의 추적과 회수를 돕자고 호소했다. 또한 해당 제품군이 업계에서 가장 오래 검증된 라인 중 하나라고 언급해, 브랜드를 둘러싼 FUD를 잠재우려 했다. BNB 관련 노출은 특정 프로토콜이 아니라 영향을 받은 체인을 통해 이뤄졌다. 5개 네트워크 중 하나로 BNB Chain이 침해됐고, BNB 표적 절도는 전례가 없는 것도 아니다. 79thVault가 침해된 운영자 키를 통해 1,250만 달러 상당의 BNB를 잃은 사례가 대표적이다. Ledger는 조사 진행 상황을 고객에게 계속 알리겠다고 밝혔다.

Tether, 1,000만 달러 동결로 추적 범위 확대

하드웨어 지갑은 개인키를 오프라인에 보관하도록 설계돼 있다. 그렇다면 자금이 피해자 주소를 빠져나갈 수 있었는지가 핵심 미해결 질문이다. 분석 업체 Bitquery의 온체인 분석에 따르면 본격 유출 약 2주 전 소액 테스트 거래가 먼저 확인됐고, 이후 여러 네트워크에 걸쳐 조직적인 이체가 이어졌다. 연구자들은 또한 다수의 피해자 지갑이 수 초 간격으로 유사한 요청에 서명하는 현상도 관찰했는데, 이는 사전 준비와 단일 통제 지점의 존재에 부합하는 패턴이다. 다만 거래 기록만으로 공격자가 접근 권한을 어떻게 확보했는지는 알 수 없다. 이 구분이 중요한 이유는 지갑이 탈취됐다는 사실 자체가 플랫폼 침해의 증거가 되지 않기 때문이다. 별도의 조사에서 Specter는 이더리움, TRON, Bitcoin 전반에 걸쳐 수백 개 피해자 지갑에서 자금을 받은 수상한 주소를 추적했고, 피해액을 8,600만 달러 이상으로 추정했다. 한편 Tether는 이 의심 절도 사건과 연루된 20개 지갑에 묶인 약 1,000만 달러 규모의 USDT를 동결한 것으로 알려졌다. 이 조치로 해당 토큰의 이동은 차단됐지만, 피해자에게 돌아가는 것은 아니다. 분석 기준 시점에서 공격자 명의 지갑에는 약 14,810 ETH가 남아 있었고, 연관 Bitcoin 주소의 약 203.8 BTC는 움직이지 않았다. Bitquery는 Tornado Cash와 Zcash를 거친 약 1,254 ETH도 식별했으며, 해당 자금은 이후 세 개의 새 지갑에서 다시 나타났다. 이 중 하나는 약 210만 USDC를 보유하고 있다. 이 잔액은 발행사가 관련 주소를 심사하는 방식에 따라 두 번째 개입 경로가 될 수 있다. 다만 동결이 확인되기 전까지는 이를 가정해서는 안 된다. 별개로, 전 Mt. Gox CEO 마크 카르펠레스(Mark Karpelès)는 말레이시아에서 자신에게 도착했다고 밝힌 Ledger Nano X 사진을 공개했다. 수축 포장은 멀쩡해 보였지만, 스크린 패딩이 있어야 할 자리에 은폐된 전자 모듈이 들어 있었다. 그는 하드웨어 임플란트가 훨씬 정교해졌다고 지적했다. Ledger는 이 모듈이 작동했는지, CryptoBilis 사건과 연관이 있는지는 아직 확인하지 않았다.

Ledger, 원인 확인하지 않아

지금까지 문서화된 기록은 유출, 추적, 1,000만 달러 동결까지다. 접근 방법은 기록에 없다. 제출된 증거 어디에도 Ledger 핵심 인프라 침해를 뒷받침하는 내용은 없고, 가품 또는 변조 기기가 침투 경로라는 확인도 없다. 다만 두 가설 모두 테스트 거래의 시점과 나란히 놓고 보면 무리가 없다. Ledger 스스로도 원인을 특정하지 않은 상태다. BNB 가격이 이번 공개와 연결됐다는 검증된 데이터는 없으며, 체인은 도난 자금을 실은 5개 네트워크 중 하나로만 기록에 등장한다. 질문을 종결지을 것은 Ledger의 포렌식 결과다. 침해가 리셀러 재고에 있었는지, 공급 경로의 다른 지점에 있었는지에 따라 답이 달라진다. 그때까지 확정된 대응은 리셀러 판매 중단, 고객 안내, 동결 세 가지다.