Ledger 하드웨어 도난 사건, 태스크 사기 운영자의 60개 이상 Bitcoin (BTC) 피싱 지갑에서 인출되다

3개 콜드월렛에서 60 BTC 이상 인출

60개 이상의 Bitcoin (BTC), 당시 비트코인 가격 기준 약 480만 달러어치를 보유하던 Ledger 콜드스토리지 주소 3곳이 10월 9일 각각 한 번의 전송으로 모두 비워졌다. 온체인 분석업체 Chainalysis는 이 지갑의 소유주가 태스크 사기, 즉 제품 판매와 리뷰를 허위로 작성하게 하고 보수를 지급하다가, 마이너스 잔액을 해소하려면 본인 돈을 예치해야만 한다는 방식으로 돈을 뜯어낸 사기의 운영자라고 특정했다. Chainalysis는 10월 15일 저녁 X에 올린 상세한 게시물에서 이 피해자를 Ledger 하드웨어 삽입 칩 사건에서 확인된 단일 손실 중 가장 큰 규모로 분류했다. 이번 판정은 사기 수익이라는 실과 기기 변조라는 실이 처음으로 하나의 자금 흐름으로 묶인 결과다. 변조된 기기가 동남아시아 사용자들의 자산을 빼내기 시작한 이후 사건 자체는 이미 공개돼 있었지만, 최대 단일 손실의 주인이 누구인지 밝혀진 것은 이번이 처음이다. 사기 수익은 9월 22일 서로 다른 Ledger 주소 3곳으로 옮겨져 17일간 콜드스토리지에 묶여 있었다. 조직이 의도하지 않은 HODL 기간이었다. 공격자는 이후 3곳을 각각 한 번의 전송으로 모두 인출했고, 자금은 이미 도난 자산으로 표시된 동일한 목적지 지갑에 합쳐졌다. 이 합산 금액은 체인에서 감시 대상인 크립토 고래 무리에 올라설 만한 규모다. 코인당 평균 8만 달러에 가까운 가격을 적용하면 이 한 피해자의 손실은 사건에서 지금까지 특정된 단일 금액 중 최대 수준이다. 주소, 전송 시점, 공유 목적지는 온체인에서 누구나 검증할 수 있고, 피해자의 신원은 공개되지 않았으며 해당 분석 게시물이 이 연결을 담은 유일한 공개 기록으로 남아 있다.

스파이 삽입 칩, CryptoBilis, 누적 피해 규모

개인 키가 애초에 기기를 어떻게 빠져나갔는지는 Ledger의 공식 대응이 설명한다. 회사 블로그 발문에 따르면 범죄 조직은 정품 하드웨어 지갑을 구입해 분해한 뒤, 사용자가 기기를 초기화하는 순간 24단어 복구 구문을 담아내도록 설계된 은닉 부품을 장착했고, 이렇게 변조된 재고를 동남아시아 유통 채널을 통해 다시 시장에 돌렸다. 이런 기기의 핵심 약속은 시드 구문이 보안 환경을 절대 벗어나지 않는다는 것인데, 삽입 칩은 정확히 그 지점을 뚫는다. 구문이 생성되는 그 순간, 소유주가 아무것도 검증하기 전에 읽혀버린다. 회사는 자사 칩, 운영체제, 서버는 결코 침해되지 않았다고 밝혔고, 그렇다면 문제의 원인은 자사 인프라가 아니라 리셀 공급망 전체에 있다. 회수된 기기에 대한 독립적 검증 결과, 삽입 칩은 LTE나 eSIM을 통해 모바일 네트워크로 구문 전체를 전송할 수 있는 것으로 확인됐다. 즉 오프라인 환경에서 초기화했더라도 유출을 막을 수 없었다. 지금까지 확인된 모든 피해는 리셀러 CryptoBilis가 판매한 기기에서 비롯됐다. 피해 규모에 대해 Ledger는 아직 공식 총액을 발표하지 않았다. 온체인 누적 집계는 6개 체인의 324개 지갑, Bitcoin (BTC)을 포함해 약 1억 200만 달러를 가리키며, 사건 초기에 돌던 약 9,320만~9,450만 달러 추정치보다 늘었다. Tether는 관련 USDT 약 1,000만 달러를 동결했다. 두 수치의 차이는 추적 대상에 새로 확인된 주소가 추가된 데서 온 것이며, 이 모든 총액은 회사가 아직 공식 확인하지 않은 온체인 추정치로 읽어야 한다.

초기화 단계 탈취, 체인 자체의 문제가 아니다

예치와 인출 사이의 17일 공백이 이 사건을 어떻게 읽어야 하는지를 결정하는 단서다. 9월 22일 콜드스토리지에 들어간 자금이 10월 9일, 삽입 칩 사건이 대규모 유출을 낸 바로 그날 인출됐다. 이는 Bitcoin 자체가 뚫린 것이 아니라 기기 초기화 시점에 개인 키가 탈취됐음을 가리킨다. 리플레이 공격도, 암호학적 실패도 아니었다. 니모닉이 생성된 바로 그 자리에서 읽혔다. 복구 구문이 일단 유출되면 콜드스토리지는 무의미해진다. 공격자는 이미 갖고 있는 키로 서명하고, 기기를 만질 필요조차 없기 때문이다. 대응 방안도 원인에서 나온다. 해당 유통 채널을 통해 구매한 사용자는 기기 설정이 이미 침해됐다고 간주하고, 새로 생성한 키로 자금을 옮겨야 한다. 침해 지점에 대한 규명은 한 가지에서 아직 끝나지 않았다. Ledger는 삽입 칩의 존재는 확인했지만 공식 피해 총액은 아직 발표하지 않았다.