싱가포르 경찰, 변조된 Ledger 지갑으로 350만 S달러 피해 보고

변조 기기로 350만 S달러 유출

싱가포르의 암호화폐 사용자들이 국내 유통업체에서 구매한 변조된 하드웨어 지갑 때문에 약 350만 S달러(약 270만 달러)를 잃었다. 싱가포르 경찰청은 수요일 공개한 권고문에서 9월 10일 이후 최소 두 건의 피해 사례를 접수했다고 밝혔다. 예비 조사 결과 일부 피해 지갑에는 사용자의 복구 구문이나 프라이빗 키를 가로챌 수 있는 비인가 하드웨어 부품이 내장된 것으로 확인됐다. 복구 구문은 보통 초기 설정 때 생성되는 12개 또는 24개 단어로, 블록체인상의 자금 접근을 최종적으로 통제하는 지갑 전체의 마스터 백업 역할을 한다.

경찰은 피해 기기들이 물리적으로 개조돼 민감한 정보를 빼내고 무단 송금을 가능하게 했다고 설명했다. 공격자가 복구 구문 전체를 확보하면 다른 기기에서 같은 지갑을 재현해 소유자의 동의 없이 잔액을 이동시킬 수 있다. 하드웨어 지갑의 핵심은 인터넷에 연결된 핫 월렛 환경과 격리된 오프라인 보관이며, 봉인된 패키지 내부에 심긴 물리적 부품은 이 방어를 내부부터 무너뜨린다. 경찰은 Ledger와 접촉 중이며 회사는 사건 검토를 진행하는 한편 경찰 조사가 계속되고 있다. 350만 S달러는 싱가포르에서 신고된 사건만 반영한다. 이는 별도로 앞서 발표된 지역 추정치와 구분된다. 블록체인 분석가들은 침해된 지갑과 관련한 피해가 8,600만 달러를 넘는 것으로 추산했으나 Ledger는 피해 총액과 피해 사용자 수 모두 확인할 수 없다는 입장이다. 회사는 자사 시스템과 직접 판매 채널은 확인된 사건과 무관하다고 유지하고 있으며, 경찰은 유통 단계의 어느 지점에서 개조가 이뤄졌는지 아직 밝히지 않았다.

카르펠레스 공약글, 공항 구매 의혹 부각

이 변조 사건은 10월 9일 대외적으로 알려졌다. 당시 인도네시아, 말레이시아, 필리핀에서 활동하는 공식 Ledger 판매점 CryptoBilis를 통해 판매된 기기들과 관련해 자금 도난 보고가 쏟아졌다. 며칠 뒤 Mt. Gox 전 최고경영자 Mark Karpelès는 게시글에서 싱가포르 공항에서 구매한 Ledger Flex에 스파이용 부품이 들어 있었다고 밝혔다. 별도로 다른 사용자는 IT 유통업체 Challenger에서 산 변조 기기를 보유하고 있다 주장했고, Ledger가 이후 교체품을 보냈다고 말했다. 경찰 사건과 연결된 기기들은 창이공항의 Metapod 매장과 비보시티의 Challenger 매장으로 추적됐다. Ledger는 10월 10일 피해 지갑 한 대에서 비인가 하드웨어 부품을 확인했고, 같은 판매점을 통해 구매된 기기가 얽힌 다른 신고 사건 조사에 착수했다. 자사 Donjon 보안팀은 해당 부품이 초기 설정 화면에 표시된 24단어 복구 구문을 캡처해 LTE 이동통신망으로 공격자에게 전송할 수 있다고 판정했다. 부품은 키를 보호하도록 설계된 Secure Element 칩과 독립적으로 작동했고 지갑 운영체제의 변경도 필요치 않았다.

@MagicalTux · X 게시물

게시글에서.

X에서 보기

10월 13일 Ledger는 조사가 진행되는 동안 싱가포르, 말레이시아, 인도네시아, 태국, 필리핀, 베트남, 홍콩의 판매점과 유통사에 판매 및 출하 중단을 요청했다. 최근 90일 내 CryptoBilis에서 기기를 산 고객은 미사용 지갑을 초기화하지 말라는 안내를 받았고, 이미 사용 중인 고객은 새로 생성한 복구 구문이 있는 다른 지갑으로 자금을 옮기라는 권고를 받았다. 파장은 동남아시아를 넘어섰다. 독일 가전 유통업체 MediaMarktSaturn은 10월 13일 한 고객이 기기 내부에서 비인가 부품을 발견했다고 신고하면서 전 매장과 온라인 채널에서 Ledger 판매를 중단했다. 다만 이 사건에서는 자금 피해가 없었다. 두 보고를 함께 보면 침해가 Ledger의 생산 라인이나 인프라가 아니라 유통 계층에 존재했음을 가리킨다. 경찰 권고문은 싱가포르 유통 채널의 실제 손실을 확인했고, 검증되지 않은 수치일 뿐 8,600만 달러를 넘는다는 분석가 추정은 피해 규모가 더 클 수 있음을 시사한다. 문제는 특정 업체에 국한되지도 않는다. 10월 26일 경쟁사 Keystone은 인증 키 유출로 25,964명의 고객 데이터가 노출됐고 18,835대의 기기를 폐기해야 했다고 공개했다. 회사는 복구 구문과 프라이빗 키는 안전하게 지켜졌다고 밝혔다. 하드웨어 지갑을 둘러싼 수주일간의 FUD는 이제 경찰 기록과 회사의 공식 대응으로 문서화된 사실에 기반한다. 지역 유통 채널이 재개되기 전까지 구매자는 직접 판매 채널을 이용하고 기기를 초기화하기 전 주요 하드웨어 지갑 보안 위협을 다시 점검하는 것이 좋다.