CryptoBilis 스파이칩 침해로 태스크 스캠 운영자의 60 BTC 약 490만 달러 유출

업데이트 10:51 UTC: 스캠 운영자는 9월 22일 수익을 Ledger 주소 세 곳에 모았고, 잔고는 그대로 방치됐다가 10월 9일 각 지갑이 도난 자금 보유로 이미 표식된 지갑으로 단일 전송으로 전액 인출됐다.

레저 지갑 세 곳에서 60 BTC 유출

동남아 리셀러 CryptoBilis가 판매한 콜드월렛 하드웨어에 숨겨진 스파이칩이 심어진 공급망 침해 사건에서 아이러니한 피해자가 나왔다. 가짜 취업 제안으로 수백만 달러를 불린 태스크 스캠 운영자가 침해된 Ledger 기기에 담긴 세 개 지갑을 털리며 비트코인 490만 달러 이상을 잃었다. 블록체인 분석 업체 Chainalysis는 목요일 X에 올린 공개 글에서 해당 인물이 이른바 태스크 스캠을 통해 자금을 모았다고 밝혔다. 이 수법은 처음에 가짜 제품 후기 작성이나 온라인 판매 실적 부풀리기 같은 소액 작업을 해주면 작은 보수를 지급하는 방식으로 시작한다. 이후 계좌 잔고가 마이너스가 됐다며 출금 전에 본인 돈을 입금해야 한다는 요구가 이어지면서 사기가 본격화된다. 스캠 운영자는 이런 수익을 Ledger 지갑 주소 세 곳으로 옮겼고, 공격자는 그곳에서 60 Bitcoin (BTC) 전액을 인출했다. 인출된 규모는 490만 달러를 넘는다. 침해 범위는 Ledger 하드웨어 전반이 아니라 CryptoBilis 유통 경로에 머문다. 조사자들은 피해 기기 안에서 인가되지 않은 칩을 발견했는데, 이 칩은 모바일 네트워크를 통해 지갑 복구 정보를 외부로 전송할 수 있었다. 복구 정보는 분실이나 교체 후 암호화폐 지갑을 되살리는 데이터다. 이 정보가 기기를 떠나는 순간 저장된 비트코인의 통제권은 받는 사람에게 넘어간다. 결국 칩은 피해 기기에 들어 있던 자산에 대한 직접적인 접근권을 공격자에게 넘겨준 셈이다. 아직 확정되지 않은 부분은 피해 규모다. 칩이 심어진 기기가 몇 대인지, CryptoBilis가 언제부터 언제까지 그런 제품을 판매했는지는 공개된 자료에 나오지 않는다. 위험에 노출된 기기 수는 열린 값으로 남아 있다.

이번 손실로 이어진 태스크 스캠은 단순한 단계적 확장 구조로 작동한다. 피해자는 가짜 온라인 취업 공고에 응해 소액 작업 보수를 받기 시작한다. 대부분 제품 후기 작성이나 판매 실적 부풀리기다. 지급이 반복되면 신뢰가 쌓이고, 그 시점에 플랫폼은 잔고가 마이너스가 됐다며 수익 출금 전에 입금을 요구한다. 소액 지급이 전액 입금 사기로 전환되는 지점이다. 인터페이스 뒤에서 실제 블록체인 기반의 현물 거래는 일어나지 않는다. 수익은 스캐머의 관리 화면 안에만 존재하며, 초기 지급은 피해자가 FOMO에 빠져 계속 자금을 넣도록 설계된 장치다. 이 특정 운영자는 그런 방식으로 수백만 달러를 모았다가 관계가 뒤집혔다. Chainalysis의 추적은 수익이 흘러간 Ledger 지갑 주소 세 곳에 도달했고, 도둑들은 그 지갑을 전액 비웠다. 사건에서 더 무거운 쪽은 하드웨어 계층이다. Ledger 기기는 정상 작동 시 지갑을 복구하는 단어 나열인 복구 구문이 보안 요소 밖으로 절대 나가지 않도록 설계돼 있다. CryptoBilis 판매 제품에서 발견된 칩은 이 전제를 깼다. 모바일 네트워크로 복구 정보를 전송한 것이다. 이는 피싱 메일도, 연결된 컴퓨터의 악성코드도, 기기 소유자의 실수도 필요 없다는 뜻이다. 침해된 하드웨어를 보유한 것만으로 그 안에 담긴 자산 전부를 잃을 수 있었다. 공개 기록은 도둑의 신원을 밝히지 않았고, 칩이 실린 기기 수나 판매 기간에 대한 수치도 나온 바 없다. 지금까지 확인된 피해는 490만 달러 규모의 이번 유출이 가장 명확하며, 피해자 역시 범죄 조직을 운영하던 인물이다.

온체인 타이밍도 확정됐다. 스캠 운영자는 9월 22일 수익을 Ledger 주소 세 곳에 모았고, 잔고는 그대로 방치됐다가 10월 9일 각 지갑이 도난 자금 보유로 이미 표식된 지갑으로 단일 전송으로 전액 인출됐다. 이번 60 Bitcoin (BTC) 손실은 CryptoBilis 판매 기기 침해 훨씬 더 넓은 범위 안에 놓이는데, Bitquery는 이 침해의 총 피해를 약 1억 200만 달러로 추정한다. 여기에는 트론에서 약 7,930만 달러 규모의 USDT와 이더리움, 트론, 비트코인에 걸친 약 203.8 BTC(약 1,680만 달러 상당)가 포함된다. Ledger는 최근 90일 내 리셀러를 통해 구매한 사용자에게 새 복구 구문으로 기기를 다시 설정하라는 경고를 내렸고, 테더는 이번 도난과 연결된 USDT 약 1,000만 달러를 동결했다. 한편 Chainalysis는 Tornado Cash, Zcash, 브리지, 스테이블코인 전송을 통한 자금 세탁을 추적 중이다.

피해 기기 수는 미공개

온체인 기록을 직접 검토한 우리 판단은 이번 사건을 범위는 한정됐지만 마무리되지 않은 사례로 본다. 유출액인 세 주소의 60 BTC는 온체인에서 직접 검증된다. 추적 자료는 그 주소들이 태스크 스캠 운영자와 연결됨을 보여주므로 손실 측면은 추정이 아닌 1차 증거 위에 놓인다. 미해결 지점은 상류에 있다. 기기 수와 판매 기간이 공개되지 않은 이상 CryptoBilis를 통해 Ledger 기기를 구입해 아직 자산을 보유 중인 사람은 공개 자료만으로 자신의 복구 정보가 기기를 벗어났는지 판단할 수 없다. 일련번호 단위의 범위나 검증 가능한 대응 절차가 공표되기 전까지 노출 인구는 가늠할 수 없고, 비워진 세 지갑만이 유일하게 확인된 피해 지점이다.