레저 동남아 판매처 구매자 손실 신고, 온체인 추정 8600만달러 넘어

• 목록
• 신고

하드웨어 지갑 제조사 레저(Ledger)가 10월 9일(현지시간) 동남아 판매업체 크립토빌리스(CryptoBilis)에서 제품을 산 이용자들의 자산 손실 신고를 조사 중이라고 X 공지로 밝혔습니다. 레저는 조사 결과가 나올 때까지 이 업체에 레저 기기의 판매와 발송을 멈춰 달라고 요청했습니다. 정확한 원인과 피해 규모는 아직 확정되지 않았습니다.

배경과 용어 풀이

크립토빌리스는 말레이시아·필리핀·인도네시아의 레저 공식 판매업체로 등록돼 있습니다. 공식 판매업체(리셀러)는 제조사 제품을 받아 되파는 판매처를 말합니다. 다만 공식 목록은 판매처의 등록 여부를 보여줄 뿐, 이번 손실 신고와의 관련성까지 확인해 주지는 않습니다.

하드웨어 지갑은 개인키를 기기 안에 두고 쓰는 장치입니다. 복구구문은 지갑을 되살릴 때 쓰는 단어 목록입니다. 이 단어를 아는 사람은 누구든 자산을 옮길 수 있습니다.

지금까지 알려진 내용

레저는 지금까지 확보한 정보로는 피해 신고가 크립토빌리스에서 산 제품과 관련돼 있다고 설명했습니다. 레저에서 직접 산 제품에 대한 신고는 없었고, 자사 인프라와 시스템, 서비스는 침해되지 않았다고도 했습니다.

크립토빌리스도 10일 세 나라의 온라인 채널과 오프라인 매장에서 레저 제품 판매와 발송을 중단하고, 일부 실물 매장을 임시 폐쇄했다고 밝혔습니다. 레저의 요청은 이 업체의 유통 채널에 한정됩니다. 레저 제품의 전 세계 판매를 멈춘 것은 아닙니다.

피해액은 확정된 숫자가 아닙니다. 블록체인 기록을 추적하는 온체인 조사자들은 비트코인·이더리움·트론 네트워크의 의심 주소를 따라가 손실액이 8600만달러(약 1154억원)를 넘을 수 있다고 추산했습니다. 9000만달러(약 1208억원)에 가까운 추정치도 있습니다. 추적된 자금이 모두 이번 신고와 관련됐는지는 검증되지 않았습니다.

공급망 공격이 거론되는 이유

공급망 공격은 제품이 소비자에게 오기 전, 유통 단계에서 기기를 건드리는 방식입니다. 이번에는 기기 내부 부품을 변조하거나, 공격자가 이미 알고 있는 복구구문을 쓰게 만드는 방식이 거론됩니다.

마크 카펠레스 전 마운트곡스 CEO는 말레이시아에서 확보한 레저 기기에서 악성 모듈을 발견했다고 주장했습니다. 겉 비닐 포장은 훼손되지 않았지만 화면 뒤에 LTE 부품과 안테나, eSIM을 갖춘 모듈이 숨겨져 있었다는 설명입니다. 다만 그 기기가 크립토빌리스에서 판매된 제품인지는 확인되지 않았습니다.

슬로우미스트의 23pds 최고정보보안책임자는 주장대로 기판이 개조됐다면 초기 설정 때 화면에 뜨는 단어를 읽어 이동통신망으로 내보낼 수 있다고 분석했습니다. 개인키를 직접 꺼내는 대신 화면으로 전달되는 정보를 가로챘을 가능성입니다. 이는 변조가 사실이라는 전제에서 나온 분석이고, 이번 유출과의 연관성은 추가 검증이 필요합니다.

창펑 자오 바이낸스 공동창업자도 특정 판매업체와 관련한 공급망 공격으로 보인다고 밝혔습니다. 이 역시 레저의 최종 조사 결과는 아닙니다.

앞으로 볼 일정과 이용자 안내

크립토빌리스는 추가 진행 상황을 세 영업일 이내에 공지하겠다고 했습니다. 레저도 조사 진행에 따라 후속 정보를 제공하겠다고 밝혔습니다. 공격 방식과 피해 범위가 확정되기 전에는 추가 보안 조치나 재발 방지 대책을 알 수 없습니다.

레저는 최근 90일 이내 크립토빌리스에서 산 이용자에게 아직 설정 전이라면 초기 설정을 시작하지 말라고 권고했습니다. 이미 설정했다면 새 복구구문을 만든 새 레저 기기로 자산을 옮기는 방안을 검토하라고 안내했습니다.

크립토빌리스는 피해 이용자에게 기기와 거래 내역을 보존하고 경찰에 신고하라고 권고했습니다. 복구구문과 PIN을 타인에게 공개하지 말라는 당부도 했습니다. 레저 지원 안내 역시 복구구문을 다른 사람과 공유하거나 앱·웹사이트에 입력하지 말라고 당부합니다.

코인 투자자에게 어떤 의미인가

하드웨어 지갑은 개인키를 기기 안에 두기 때문에 안전하다고들 합니다. 하지만 이번처럼 화면에 표시되는 복구구문이 기기 변조로 노출될 수 있다는 의혹이 나오면, 어디서 샀는지도 보안의 일부가 됩니다. 아직 확인된 원인은 아닙니다.

국내에서도 해외 직구나 오픈마켓으로 지갑을 사는 경우가 있습니다. 일반적인 점검 방법으로는 다음 순서를 생각해 볼 수 있습니다. 레저가 안내한 내용은 아니고, 이번 사안을 계기로 해 볼 만한 확인입니다.

• 주문 내역의 판매자명, 결제·배송 담당 판매처 주소, 마켓플레이스 스토어명, 구매일을 확인해 이번 업체와 겹치는지 대조합니다.
• 설정할 때 기기 화면이 새로 보여 주는 복구구문을 쓰는지 봅니다. 상자나 카드에 미리 적힌 단어를 쓰라고 한다면 의심해 볼 수 있습니다.
• 복구구문은 누구와도 공유하지 않고, 앱이나 웹사이트에 입력하지 않습니다.

기사에 나온 피해액과 기기 변조 설명은 대부분 추정이나 주장입니다. 확정된 사실과 구분해서 보고, 구매처가 해당될 수 있다면 레저와 판매업체의 후속 공지를 직접 확인하는 편이 좋습니다.

출처: 토큰포스트 - 레저 공식 목록에 동남아 크립토빌리스 판매처 3곳 등록 · 블록미디어 - 레저 지갑 자산 유출 조사…동남아 판매처 판매 중단 · 토큰포스트 - CFTC, 이벤트 계약 규정안 공개…ESMA는 토큰화 담보 의견수렴