Ledger, 리셀러 CryptoBilis 판매 제품 관련 8,600만 달러 Bitcoin(BTC) 도난 조사 착수

Ledger, 공식 인증 리셀러 판매 중단

하드웨어 지갑 제조사 Ledger가 동남아시아 인증 리셀러 CryptoBilis를 통해 판매된 기기와 관련해 약 8,600만 달러 규모의 암호화폐 도난 사건에 대한 조사에 착수했다. 회사는 금요일 공식 지원 계정을 통해 조사가 진행되는 동안 CryptoBilis에 Ledger 제품의 모든 판매와 출하를 중단하도록 요청했다고 밝혔다. 최근 90일 안에 해당 리셀러에서 기기를 구매한 고객은 기기를 설정하지 말라는 안내를 받았고, 이미 활성화한 구매자에게는 새로 복구 구문을 생성한 새 Ledger 서명기로 자산을 옮기라고 권고했다. Ledger는 성명에서 이번 사건이 해당 리셀러와 그 판매 시장에 국한된 것으로 보이며, 회사에서 직접 구매한 기기와 관련된 피해 신고는 접수된 바 없고 자사 인프라와 시스템, 서비스는 침해되지 않았다고 설명했다. 유출된 지갑에는 Bitcoin (BTC), 이더리움, 트론이 담겨 있었고, 비트코인 가격 기준으로 온체인 연구자들이 산출한 추정 합계는 8,600만 달러를 넘는다.

@Ledger_Support · X 게시물

지원 계정.

X에서 보기

수백 개 지갑에서 유입된 자금 추적

온체인 연구자들은 회사보다 먼저 움직였다. 익명 조사자 Specter는 X에 올린 글에서 Ledger 사용자들 사이에서 지갑이 비워졌다는 피해 신고가 X와 레딧에 잇따라 올라왔다고 지적했다. 그는 의심 도지 주소를 추적한 결과 Bitcoin, 이더리움, 트론에서 수백 개 피해 지갑으로부터 입금이 확인됐으며 합계가 8,600만 달러를 넘는다고 밝혔다. 또 다른 연구자 tanuki42는 7,200만 달러 이상의 피해와 연관된 것으로 추정되는 8개 주소를 특정했다. 암호화폐 보안 단체 SEAL은 이 조사 결과를 널리 알리며, 피해 주소로 자금이 이체된 사람은 자사의 사고 대응 팀에 연락하라고 촉구했다. Ledger는 이 두 추정치를 어느 쪽도 확인하지 않았고, 원인을 밝히지 않았으며 기기 자체가 조작됐는지 여부도 말하지 않았다. 개별 사건들이 하나의 공격 수법을 공유하는지 여부도 아직 확인되지 않았다. 다만 지금까지의 모든 신고는 하나의 공통 경로, 즉 단일 리셀러를 거쳐 흘러간다.

@SpecterAnalyst · X 게시물

X에 올린 글.

X에서 보기

CryptoBilis의 실체와 공급망 공격 가설

CryptoBilis는 2020년 12월 Arravind Prabu, Vimal Selvamany, Dhivager Rathakrishnan이 자회사 Fetch International을 통해 설립한 쿠알라룸푸르 소재 온라인 매장이다. 이 매장은 2021년 파리 소재 지갑 제조사의 인증 리셀러가 됐다고 밝혔으며, 인도네시아, 말레이시아, 필리핀의 공식 판매점으로 등재돼 있다. 자사 홈페이지는 CryptoBilis를 동남아시아의 신뢰할 수 있는 Web3 브랜드로 소개하며, Ledger 기기와 함께 Tangem 지갑, SafePal, OneKey, Trezor를 취급한다고 홍보한다. 도난에 대한 유력한 가설은 공급망 공격이다. 이 수법은 기기를 미리 조작해 구매자가 개봉하기 전에 공격자가 복구 구문을 알아낸 상태로 만드는 방식이며, 자금이 지갑에 들어오는 순간 인출할 수 있다. 연구자들은 2023년 조작된 Trezor Model T 사례에서 이 방식을 문서화했다. 해당 기기의 주 칩이 교체되고 소프트웨어가 조작돼 사용자에게 공격자가 아는 20개 구문 가운데 하나가 제공됐으며, 공격자는 한 달여를 기다린 뒤 자금을 비웠다. 전 Mt. Gox 최고경영자 Mark Karpelès는 리셀러 판매 Ledger 기기에 패스키를 훔치는 스파이웨어가 심겨졌다는 주장도 언급했다. 이 어떤 수법도 이번 사건에 대해선 확인되지 않았다.

하드웨어 지갑 보안의 긴 달

이번 사건은 하드웨어 지갑 업계가 근래 가장 큰 타격을 입은 기간에 터졌다. 지난 7월 Coinkite 제품에 탑재된 펌웨어 버그가 시드 생성을 잘못해 공격자가 사실상 추측할 수 있게 되면서, 해커가 Coldcard 사용자로부터 1억 2,000만 달러에 육박하는 Bitcoin (BTC)을 훔쳤다. Galaxy Research는 이후 여러 공격자가 독립적으로 이 결함을 이용했다고 말했다. 지난달에는 Trezor가 제3자 물류 파트너를 통해 약 8만 1,000명 고객의 정보가 유출됐다고 공개했다. Ledger 자체도 1월에 결제 대행사 Global-e가 고객 데이터를 유출해 사기꾼들이 피싱 메일에 재활용한 사건을 기록했다. 이번 사건을 기기의 제로데이 결함으로 보는 해석에 동의하지 않는 목소리도 있다. 보안 연구자 Taylor Monahan은 유출 보고를 확산하는 계정들이 사람들에게 당황한 조치로 몰아가고 있으며, 자금 이동 검색은 피싱 페이지, 가짜 광고, 위조 앱의 표적이 되는 구멍을 만든다고 경고했다. 이러한 압박은 Ledger에 더한 부담으로 작용한다. 회사는 지난 5월 시장 상황을 이유로 계획했던 40억 달러 규모의 미국 상장(IP0)을 철회한 바 있다.

칩이 아니라 유통 경로

지금까지의 증거에 대한 우리의 판단은 이렇다. 취약 지점은 기기 자체가 아니라 유통 채널에 있다. 확인된 모든 피해 신고는 CryptoBilis를 통해 구매한 기기에서 나왔고, Ledger에서 직접 구매한 고객은 피해를 신고하지 않았다. 그럼에도 이번 사건은 콜드 월렛의 핵심 약속을 흔든다. 조작된 기기는 매장 선반의 봉제된 정품과 겉으로 구분되지 않기 때문이다. 조사가 공격 수법을 특정하기 전까지 실무적 대응은 그대로다. 최근 구매한 기기는 설정을 미루고, 이미 활성화한 지갑은 새 시드로 새 서명기에 옮기며, 구매는 공식 채널로만 진행한다. 최고 암호화폐 거래소를 비교할 때와 같은 검증 원칙을 그대로 적용하면 된다. 피해 합계는 현재 8,600만 달러를 넘었으며, 피해자 신고가 이어지면 더 늘어날 수 있다.