Trezor, 2026년 3월 이후 CryptoBilis 구매자에 Safe 5 자금 이동 경고

의심 이식 부품, 복구 구문 노출 경로 확인

전직 공식 리셀러인 CryptoBilis를 통해 판매된 Trezor Safe 5에서 의심 이식 부품이 발견됐다는 신고가 접수됐다. Trezor는 공식 블로그를 통해 이를 확인했는데, 인도네시아 사용자가 2026년 10월 28일(수) 회사의 취약점 제보 채널로 문제를 알렸고 해당 기기는 2026년 8월에 구매한 것으로 확인됐다. 제보에 따르면 메인보드와 디스플레이 사이에 별도의 회로 기판이 장착돼 있었고, 여기에 이동통신 모듈과 안테나가 함께 달려 있었다. 의심되는 공격 경로는 초기 설정 단계다. 화면에 콜드월렛 백업용 복구 구문이 표시되는 순간 이식 부품이 화면을 읽어 이동통신망을 통해 공격자에게 전달하는 방식이다. 복구 구문이 통째로 유출되면 공격자는 별도 하드웨어에서 지갑을 복원해 자산을 통제할 수 있다. 다만 Trezor는 이 정보가 아직 제보자의 사진과 설명, 영상 인터뷰에 근거한 것이며 실험실 검증은 이뤄지지 않았음을 강조했다. 11월 1일(일) 기준으로 해당 기기의 포렌식 조사가 완료되지 않았고 관련 자산 도난 신고도 없다. 그럼에도 권고는 2026년 3월 이후 CryptoBilis 채널로 Trezor를 구매한 모든 고객을 대상으로 한다. 자산은 새 복구 구문으로 만든 지갑으로 옮기고, Trezor는 무상 교환 기기나 구매 바우처를 제공한다. 새 기기에 기존 복구 구문을 절대 입력하지 말아야 하며, 자금은 새 지갑 주소로 이동해야 한다. 아직 초기화하지 않은 해당 채널 기기는 설정 자체를 하지 말라는 지침도 함께 전달됐다. 회사는 기기를 열거나 무게를 재는 것도 경고했다. 조작 탐지에 무게 차이는 신뢰하기 어렵기 때문이다.

CryptoBilis 채널, 먼저 Ledger에서 피해 확인

CryptoBilis는 Trezor가 신고를 받기 전에 이미 확정된 공급망 사건의 중심에 있었다. 이 회사는 동남아시아 시장에서 Ledger와 Trezor 양사의 공식 리셀러였으나, 2026년 10월 두 브랜드 모두에서 관계가 끊겼다. Ledger는 10월 9일(금)부터 이 채널로 판매된 기기 도난 사건 조사에 착수했고, 이후 일부 정품 기기에 승인되지 않은 하드웨어 이식 부품이 있었음을 확인했다. 온체인 분석에서는 Ledger 관련 공급망 도난 피해액을 8,600만 달러 이상으로 추산했으나, Ledger는 이 수치를 최종 확정하지 않았다. Trezor는 실제로 개조된 Trezor 기기 증거가 나오기 전인 같은 10월 9일에 CryptoBilis의 리셀러 권한을 종료했다. OneKey도 해당 리셀러와의 협력을 중단하고 신규 승인을 멈추며 교환 절차를 제공했다. Trezor는 지금까지 이 채널로 판매된 기기 네 대(Safe 7 한 대, Safe 5 두 대, Safe 3 한 대)를 검사했고 모두에서 물리적 개조 흔적을 찾지 못했다. 그러나 이 네 대에는 10월 28일에 신고된 Safe 5가 포함되지 않으며, 회사는 이 기기를 실험실로 보내 추가 회로의 존재와 복구 구문 캡처 능력을 확인할 계획이다. 다음 조사 보고 일정은 공표되지 않았다. 최고상무책임자(CCO) Danny Sanders는 포렌식이 끝나기를 기다리기보다 도난이 실제로 발생하기 전에 사용자에게 경고하는 쪽을 택했다고 밝혔다. Trezor는 CryptoBilis 고객 중 확정된 피해는 없다고 발표했고, 인도네시아 사용자는 의심 하드웨어를 발견하기 전에 자산을 옮겨둔 상태였다. 다만 Trezor는 셀프커스터디 모델을 취하므로 사용자 잔액을 직접 확인할 수 없고, 신고되지 않은 피해를 배제할 수는 없다. 회사는 또한 공격자가 공식 지원팀을 사칭한 피싱 이메일, 편지, 전화로 복구 구문을 넘기도록 유도할 수 있다고 경고했다.

이 사건은 하드웨어 지갑 리스크가 이제 어디에 놓여 있는지 보여준다. 기기의 블록체인 서명용 개인키 알고리즘과 보안 엘리먼트, 펌웨어가 모두 정상이더라도 물리적 이식 부품이 설정 시점에 비밀을 수집할 수 있다. 공장 포장과 봉인, 펌웨어 검증만으로는 출하 전 조작을 막지 못한다는 뜻이다. 확정 피해가 없는 상황에서 포렌식 완료 전에 이동을 먼저 요청한 Trezor의 선택은 드물지만, 같은 채널에서 Ledger 이식 부품이 확인된 사실이 경고에 구체적 근거를 부여한다. 이 사건은 콜드월렛 업계 전반에 보안 관련 FUD를 확산시킬 것으로 보인다. 두 가지 질문은 아직 풀리지 않았다. Ledger와 Trezor의 이식 부품이 동일 공격자에서 나왔다는 증거는 없고, 물류나 판매 체계 중 어느 지점에서 개조가 이뤄졌는지도 확인되지 않았다. 따라서 공격을 차단할 수 있는 지점이 현재로선 확정돼 있지 않다.