하드월렛 '레저' 또 뚫렸다…판매상 거친 기기서 '하드웨어 이식' 발견

암호화폐 보안의 최전선에 있는 하드월렛 제조사 레저(Ledger)가 또 다른 보안 침해 의혹에 휩싸였다. 이번 사건은 특정 판매상을 통해 유통된 기기에서 '승인되지 않은 하드웨어 이식(unauthorized hardware implant)'이 발견되면서 불거졌다. 레저는 자체 시스템은 안전하다고 밝혔으나, 이로 인해 사용자들이 막대한 암호화폐 자산을 도난당했다는 주장이 제기되면서 논란이 일고 있다.

레저 측은 10월 10일(현지시간) 발표한 성명을 통해 "영향을 받은 사용자 중 한 명의 기기에서 승인되지 않은 하드웨어 이식이 발견되었음을 확인할 수 있다"고 밝혔다. 현재 레저는 조사팀을 꾸려 해당 사건을 면밀히 조사하고 있으며, 피해 사용자들과 직접 접촉하며 상황을 파악 중인 것으로 알려졌다. 이와 관련하여 동남아시아 지역의 판매업체인 크립토빌리스(CryptoBilis)는 조사 결과가 나올 때까지 모든 하드웨어 월렛 재고 판매를 중단했다.

이어 10월 11일 추가 업데이트를 통해 레저는 피해 기기의 규모가 제한적인 것으로 보인다고 설명했다. 레저는 "현재까지 확인된 모든 사례는 지난 10월 9일 발생한 것으로 알려진 자금 유출 사건과 관련이 있으며, 이는 동남아시아 지역 판매업체인 크립토빌리스를 통해 판매된 기기들에 국한된다"고 강조했다. 또한, 레저의 내부 시스템과 직접 판매 채널은 전혀 영향을 받지 않았다고 덧붙였다.

이번 사건은 물리적인 이식 침해가 확인된 첫 사례로, 그동안 제기되었던 공급망(supply-chain)을 통한 조작 의혹에 대한 구체적인 증거를 제시한 셈이다. 앞서 지난 금요일, 레저는 크립토빌리스를 통해 기기를 구매한 고객들로부터 자금이 유실되었다는 보고를 받고 조사를 진행 중이라고 밝힌 바 있다. 크립토빌리스는 인도네시아, 말레이시아, 필리핀 등 동남아시아 시장에서 활동하는 업체이다.

레저 공식적으로 도난 규모를 확정하지는 않았지만, 제3자의 온체인(on-chain) 분석 연구원들은 비트코인, 이더리움, 트론 등 여러 블록체인에 걸쳐 300개 이상의 지갑에서 약 8,600만 달러에서 9,300만 달러에 달하는 암호화폐가 도난당한 것으로 추정하고 있다. 그럼에도 불구하고 레저는 자체적인 보안 인프라, 시스템 또는 서비스가 침해되었다는 어떠한 징후도 없다고 거듭 강조했다.

레저는 일요일에 관련 당국과 협력하고 있다고 밝혔다. 또한, 유통업체 네트워크에 공식적으로 승인된 채널을 통해서만 제품을 소싱하도록 재차 상기시켰으며, 반품된 제품의 재입고를 엄격히 금지했다.

회사는 크립토빌리스를 통해 기기를 구매한 고객들에게 앞서 제공한 보안 지침을 반복하며, "아직 사용하지 않은 기기는 초기화하지 말 것"을 권고했다. 활성 지갑을 보유한 고객들에게는 레저로부터 직접 얻은 새 기기에서 새로운 시드(seed)로 자금을 이전할 것을 당부했다.

이번 사건은 하드월렛의 물리적 보안 취약점에 대한 우려를 다시금 증폭시키고 있다. 하드월렛은 암호화폐를 오프라인 상태로 보관하여 해킹 위험을 최소화하는 장치로 여겨져 왔으나, 이번 사건은 공급망 단계에서의 침투 가능성을 보여주며 사용자들에게 경각심을 일깨우고 있다. 특히, 레저는 과거에도 보안 관련 이슈에 직면한 바 있어 이번 사건에 대한 파장은 더욱 클 것으로 전망된다. 시장 전문가들은 하드월렛 제조사들이 공급망 보안 강화 및 제조 과정의 투명성 확보를 위한 더욱 강력한 조치를 마련해야 한다고 지적하고 있다.