레저 "피해 기기 1대에 무단 부품"…판매처 크립토빌리스 판매 중단

하드웨어 지갑 업체 레저(Ledger)가 동남아시아 판매처 크립토빌리스(CryptoBilis)를 거쳐 팔린 기기에서 허가받지 않은 부품이 나왔다고 확인했다. 레저 고객지원 계정은 11일 새벽 2시께(한국시간) X에 올린 상황 공지에서 "피해 이용자 기기 가운데 한 대에 무단 하드웨어 이식물(implant)이 들어 있었다"고 밝혔다. 레저가 기기 자체의 물리적 조작을 공식 확인한 것은 이번 사건에서 처음이다.

레저는 같은 공지에서 크립토빌리스가 조사가 끝날 때까지 하드웨어 지갑 재고 판매를 모두 멈췄다고 전했다. 크립토빌리스는 인도네시아·말레이시아·필리핀에서 레저 공식 판매처로 등록된 업체다. 레저는 피해 이용자들에게 직접 연락하고 있으며 관련 당국과 함께 범인을 쫓고 있다고 했다. 사건 정보는 레저 버그 바운티 창구(bounty@ledger.fr)로 받는다.

시험 송금 2주, 털어 가는 데는 반나절

블록체인 데이터 업체 비트쿼리(Bitquery)가 온체인 기록으로 재구성한 흐름과 레저 공지를 시간순으로 놓으면 다음과 같다.

1. 9월 25일범인이 쓴 트론·이더리움 주소에 처음 자금이 들어왔다. 이후 10월 7일까지 두 네트워크에서 시험 송금이 40여 차례 오갔다.
2. 10월 9일 14시께트론 지갑 30개에 새 권한 키가 추가돼 주인이 통제권을 잃었다. 8분 뒤에는 다른 트론 지갑들에서 약 2,900만 달러가 한꺼번에 빠져나갔다.
3. 10월 9일 14시 54분비트코인 지갑 111개가 한 블록 안에서 비워졌다. 빼낸 비트코인은 약 203개다.
4. 10월 9일 22시 32분레저가 크립토빌리스에 판매·배송 중단을 요청했다는 첫 공지를 냈다.
5. 10월 10일 0시 13분마운트곡스 전 대표 마크 카펠레스가 말레이시아에서 온 기기 안에 숨겨진 부품 사진을 올렸다.
6. 10월 11일 2시 9분레저가 피해자 기기 한 대에서 무단 부품을 확인했다고 밝혔다.

시각은 모두 한국시간이다. 레저는 아직 피해 고객 수와 전체 피해 금액을 확인하지 않았고, 모든 도난이 조작된 기기 때문인지도 밝히지 않았다.

비닐 포장은 멀쩡했다

이번 사건의 부품 사진은 레저 공식 확인보다 하루 앞서 공개됐다. 일본 비트코인 거래소 마운트곡스를 운영했던 마크 카펠레스는 X에 "스파이 부품이 심어진 내 레저는 말레이시아에서 왔고, 비닐 포장(shrink wrap)에는 흠이 없었다"고 썼다. 그는 열어 봐도 처음에는 부품이 보이지 않는다며 화면 완충재가 있어야 할 자리에 교묘하게 숨겨져 있었다고 설명했다.

하드웨어 지갑은 처음 설정할 때 화면에 24단어 복구 문구(시드)를 보여 준다. 프랑스 코인 매체 크립토아스트는 카펠레스의 설명을 정리하며 이 부품에 SIM카드와 모뎀이 들어 있어, 화면에 24단어가 뜰 때 그 정보를 가로채 피해자 컴퓨터나 휴대전화를 거치지 않고 휴대전화망으로 보낼 수 있다고 설명했다. 레저는 부품의 구조와 작동 방식을 공개하지 않았다. 레저는 "보안 인프라·시스템·서비스가 뚫렸다는 징후는 없다"며 변조 방지 대책을 더 강화하고 있다고 밝혔다.

서클이 묶을 수 있는 535만 USDC

비트쿼리는 11일 기준 6개 네트워크의 지갑 315개에서 약 9,320만 달러가 빠져나갔다고 집계했다. 레저는 이 금액을 확인하지 않았다. 체인 위에서 아직 추적되는 돈은 하루 새 8,800만 달러에서 약 8,100만 달러로 줄었다.

비트쿼리에 따르면 범인은 10일 이더리움 1,736개를 추가로 자금 추적을 어렵게 하는 믹서 서비스 토네이도캐시에 넣었고, 이 돈은 지캐시(ZEC)를 거쳐 USD코인(USDC) 429만 개로 새 지갑 4개에 들어갔다. 9일 믹싱분 가운데 움직이지 않은 지갑 하나까지 합치면 535만 USDC가 한 번도 돈을 보낸 적 없는 지갑 5개에 그대로 있다. 발행사 서클이 모두 동결할 수 있는 돈이다.

트론에서는 다른 길이 쓰였다. 비트쿼리에 따르면 테더는 9일 범행과 연결된 주소 37개를 차단해 USDT 1,000만 달러를 묶었다. 범인은 테더가 동결할 수 없는 스테이블코인 USDD로 바꿔 뒀던 돈 가운데 510만 달러어치를 다시 USDT로 바꿔 장외거래(OTC)용으로 보이는 지갑 5곳에 보냈고, 이 지갑들에서 520만 USDT가 바이낸스 입금 주소 세 곳으로 들어갔다. 다만 비트쿼리는 이 장외거래 지갑들이 여러 고객의 돈을 함께 다룬다고 덧붙였다. 나머지 USDD 1,000만 달러어치는 범인 지갑에 그대로 남아 있다.