MediaMarkt Saturn, 독일 내 조작 보고 여파로 Ledger 하드웨어 지갑 판매 중단

MediaMarkt Saturn, Ledger 기기 매장과 온라인에서 전량 회수

유럽 전자제품 유통업체 MediaMarkt Saturn이 운영하는 모든 시장에서 하드웨어 지갑 판매를 중단했다. 실물 매장과 온라인 플랫폼에서 해당 기기를 동시에 내렸다. 독일의 한 고객이 구매한 기기 내부에서 의심 구성품을 발견했다는 보고가 나온 뒤다. Ledger는 10월 13일 성명에서 유통사가 회사의 동의를 받아 이런 조치를 취했다고 확인했다. 회사 대변인은 예방 차원에서 Ledger 제품을 모든 국가 판매 목록에서 제외했다고 밝혔다. 독일 보고의 당사자는 Johannes라는 이름으로 글을 올린 사용자다. 그는 10월 12일 서로 다른 MediaMarkt 매장에서 구매한 Ledger 지갑 두 개 각각에 승인되지 않은 케이블과 이동통신 모듈이 들어 있었다고 주장했다. Ledger는 이 독일 사례에서 자금 손실 신고를 받은 바 없으며, 회사의 인프라나 시스템, 서비스가 침해됐다는 징후는 없다고 밝혔다. 지원팀은 고객 제보를 검토 중이며, 하드웨어와 소프트웨어를 시험하는 사내 보안 연구 부서인 Donjon 팀이 조사 과정에서 제출된 기기를 분석한다. 미해결 질문도 남아 있다. 판매 재개 시점, 검사 대상이 될 수 있는 물량, 영향받은 모델, 조작 방식에 대해 Ledger는 아직 입장을 내지 않았고, 독일 사례가 다른 의심 조작 건과 연결되는지도 확인하지 않았다. 성명은 온라인에 유통 중인 검증되지 않은 주장을 경계하라고 당부했으며, 기기가 걱정되는 이용자에게 공식 지원 채널로 문의하라고 안내했다. Ledger는 사기꾼이 이 상황을 이용해 지갑 소유자에게 24단어 복구 구문을 요구할 수 있다고 거듭 경고했다. 직원은 고객에게 전화를 걸거나 그 단어를 요구하는 일이 없다는 점을 재확인했고, 조사가 진행되는 대로 추가 정보를 공개하겠다고 밝혔다.

@Ledger · X 게시물

10월 13일 성명.

X에서 보기

CryptoBilis 경로에서 발견된 조작 부품

독일 보고는 Ledger가 동남아시아 리셀러 CryptoBilis를 통해 판매된 기기를 대상으로 벌이고 있는 더 넓은 공급망 조사와 맞닿아 있다. CryptoBilis 고객들의 암호화폐 분실 신고가 회사에 접수되기 시작한 것은 10월 9일이었고, Ledger는 10월 10일 영향받은 기기 한 대 안에서 조작 부품의 존재를 확인했다. 10월 13일 공개된 기술 분석에 따르면 승인되지 않은 부품이 기기 초기 설정 화면에 표시된 단어들을 읽어 이동통신 방식(LTE)으로 외부로 전송했다. 이 조작 부품은 별도의 마이크로컨트롤러와 이심(eSIM)을 결합해 Ledger 복구 키를 가로챘다. 보안 엘리먼트나 운영체제, 거래 서명에는 손대지 않았기 때문에 기기 화면에서 결제 내용은 한 번도 변하지 않았다. 온체인 분석 업체 Bitquery는 10월 12일 분석에서 324개 지갑에 걸쳐 약 1억 200만 달러의 의심 손실을 추산했다. Ledger는 이 금액과 피해자 수, 그리고 모든 의심 거래가 조작된 기기에서 나왔는지 여부를 확인하지 않았다. 회사가 확인한 사실은 이렇다. 지금까지 점검한 자금 손실은 전부 CryptoBilis를 통해 구매한 기기와 관련됐고, 다른 유통 경로의 서명기기와 연관된 도난은 확인되지 않았다. Ledger는 CryptoBilis 기기를 아직 개봉하지 않은 고객에게 초기 설정을 중지하라고 지시했고, 이미 영향 가능성이 있는 지갑을 사용한 이용자에게는 새 단어로 설정한 새 기기로 자금을 옮기라고 말했다. 기존 구문을 복원하는 방식은 원래 구문이 한 번 유출되면 아무것도 지켜주지 못한다고 경고했다. 조사 범위는 이제 CryptoBilis를 넘어 다른 판매 경로로 확대됐다. 10월 13일 전 Mt. Gox 최고경영자 Mark Karpeles는 싱가포르 공항에서 구매한 Ledger Flex 안에서 스파이 기기를 발견했다고 말했다. Ledger는 이 주장에 직접 답하지 않고 CryptoBilis 관련 업데이트를 먼저 확인하라고 답변자를 안내했다. 보안 연구자들은 10월 11일 구글 검색 결과에서 가짜 Ledger 웹사이트도 확인했다. 다만 Ledger는 이 피싱 캠페인이 두 조사 어느 쪽과도 연결되지 않는다고 밝혔다.

콜드 스토리지 전제가 시험대에 올라

두 사례를 잇는 것은 유통 채널이지 Ledger 자체 시스템이 아니다. 어느 건도 Ledger 인프라 침해와는 무관하다. 그러나 두 건 모두 제3자를 통해 구매한 콜드 월렛이 구매자가 검증할 수 없는 위험을 안고 있다는 점을 보여준다. 이 설계는 개인 키가 밀봉된 기기를 절대 떠나지 않는다고 전제한다. 조작된 기기는 판매 시점에서 바로 그 전제를 무너뜨린다. Donjon의 분석은 CryptoBilis 조작 부품이 거래 서명을 바꾸지 않고 작동했음을 확인했다. 그래서 자금이 실제로 이동할 때까지 잔액은 정상으로 보였다. 독일에서 손실이 확인되기 전에 합의된 MediaMarkt Saturn의 공동 판매 중단은 회사가 유통 채널의 무결성을 미해결 과제로 다룬다는 뜻이다. Ledger는 조사가 진행되는 대로 결과를 공개하겠다고 약속했다.