레저 월렛, '스파이 칩'으로 복구 문구 유출…9320만 달러 피해 추정

세계적인 하드웨어 월렛 제조사 레저(Ledger)가 자사 제품에 숨겨진 '스파이 칩'을 통해 사용자들의 복구 문구가 유출되어 막대한 피해가 발생했다고 밝혔습니다. 이는 소프트웨어 보안이 아닌 물리적 공급망 공격의 일종으로, 사용자들의 핵심 자산인 복구 문구가 공격자에게 고스란히 넘어간 것으로 드러나 충격을 주고 있습니다.

레저에 따르면, 동남아시아 지역 판매업체인 크립토빌리스(CryptoBilis)를 통해 유통된 일부 하드웨어 월렛에 악의적인 칩이 탑재되었습니다. 이 칩은 사용자가 월렛을 초기 설정할 때 화면에 표시되는 24개 단어로 이루어진 복구 문구를 인식하고 해독했습니다. 해독된 복구 문구는 LTE 이동통신망을 통해 공격자에게 전송되었으며, 이는 스마트폰에서 사용하는 데이터 전송 기술과 eSIM을 이용한 것으로 확인되었습니다.

복구 문구는 암호화폐 지갑의 '마스터 키'와 같습니다. 이 문구를 가진 사람은 누구나 물리적인 레저 장치 없이도 다른 곳에서 지갑을 복구하고 자산을 이동시킬 수 있습니다. 이번 사건은 레저의 소프트웨어나 내부 시스템, 보안 칩(Secure Element), 거래 서명 과정 등에는 아무런 변화를 주지 않은 채, 기기 자체에 심어진 물리적인 악성 하드웨어에 의해 발생했다는 점에서 심각성을 더합니다.

레저 측은 현재까지 확인된 피해 사례에서 크립토빌리스에서 구매한 장치만이 연루되었다고 밝혔습니다. 아직 정확한 피해자 수나 총 피해 금액은 공개되지 않았지만, 온체인 연구자들은 300개 이상의 지갑에서 최대 9,320만 달러(약 1,280억원) 상당의 피해가 발생한 것으로 추정하고 있습니다. 스테이블코인 발행사 테더(Tether) 역시 이번 도난 사건과 관련된 1,000만 달러 상당의 USDT를 동결했다고 발표했습니다.

레저는 이번 사태와 관련하여 크립토빌리스가 레저 서명기 판매를 중단했으며, 해당 판매업체를 통해 제품을 구매한 고객들에게는 초기 설정을 진행하지 말 것을 권고했습니다. 이미 사용 중인 고객들에게는 새로운 복구 문구를 생성하여 안전한 새 장치로 자산을 옮길 것을 강력히 요청했습니다.

이번 사건은 하드웨어 월렛의 물리적 보안에 대한 의문을 제기하며, 암호화폐 투자자들에게 각별한 주의를 요구하고 있습니다. 특히 신뢰할 수 있는 공식 채널이 아닌 경로를 통해 제품을 구매할 경우, 예상치 못한 위험에 노출될 수 있음을 시사합니다. 레저는 이번 공급망 공격에 대한 조사를 계속 진행하며, 향후 유사한 사건 재발 방지를 위한 보안 강화 대책 마련에 집중할 것으로 예상됩니다. 암호화폐 보안은 소프트웨어적인 측면뿐만 아니라, 하드웨어 생산 및 유통 과정 전반에 걸친 철저한 관리가 필요하다는 점을 이번 사건이 여실히 보여주고 있습니다. 시장에서는 이번 사건이 레저 브랜드 이미지에 타격을 줄 수 있으며, 하드웨어 월렛 시장 전반의 신뢰도에도 영향을 미칠 수 있다는 우려가 나오고 있습니다.