미디어마크트, 레저 판매 중단…독일 고객이 '이식 부품' 신고

유럽 가전 유통업체 미디어마크트·자툰(MediaMarktSaturn)이 하드웨어 지갑 업체 레저(Ledger)의 기기 판매를 매장과 온라인에서 멈췄다. 레저는 13일 밤 9시 29분(한국시간) 공식 X에서 독일 고객 한 명이 기기 안에서 무단 부품(implant)을 발견했다고 신고했고, 미디어마크트·자툰이 레저와 협의해 조사가 끝날 때까지 판매를 중단했다고 밝혔다. 레저는 이 건에서 자금 피해는 보고되지 않았다고 덧붙였다.

지금까지 레저가 확인한 도난은 모두 동남아시아 판매처 크립토빌리스(CryptoBilis)에서 팔린 기기에서 나왔다. 유럽 대형 유통망까지 판매를 멈추면서 조사 범위는 동남아 밖으로 넓어졌다.

유럽 매장 두 곳에서 산 기기, 똑같은 개조

유럽 신고는 하루 전부터 나왔다. X 이용자 요하네스(@0xJohannes_)는 12일 밤 10시 17분 서로 다른 미디어마크트 매장 두 곳에서 산 레저 기기에서 모두 추가 배선과 LTE 통신 모듈을 발견했다고 주장했다. 그는 두 번째 기기는 개봉 과정을 영상으로 찍었고, 매장 직원에게서 반품 제품이 아니라는 답을 들었다고 썼다. 매장 기록상 재고는 독일 유통업체 아키파(Aqipa)를 거쳐 들어왔다는 것이 그의 설명이다.

미디어마크트·자툰 대변인은 코인텔레그래프에 "우리가 영업하는 모든 나라에서 제품을 뺐다. 예방 차원의 조치"라고 말했다. 레저는 유럽 신고가 크립토빌리스 사건과 같은 범행인지는 아직 밝히지 않았고, 요하네스의 주장도 확인하지 않았다.

화면에 뜬 24단어를 휴대전화망으로

레저는 이날 오후 3시 39분 자체 보안 연구팀 돈전(Donjon)의 분석 결과를 처음 공개했다. 문제의 부품은 기기 외장 안쪽에 들어가 화면에 표시되는 내용을 읽는다. 기기는 처음 설정할 때 지갑 복구에 쓰는 24단어 복구 문구를 화면에 띄우는데, 부품의 마이크로컨트롤러가 이 화면을 알아채면 단어를 해독해 미리 넣어 둔 eSIM으로 LTE 휴대전화망을 통해 밖으로 보냈다.

레저는 이 부품이 별도로 덧붙인 장치라며 "보안 칩(Secure Element)이나 레저 운영체제를 바꾸지 않고, 거래나 서명도 건드리지 않는다"고 설명했다. 복구 문구만 있으면 다른 기기에서 지갑을 되살려 돈을 옮길 수 있어, 기기 자체의 보안 칩이 멀쩡해도 자산을 지킬 수 없는 구조다.

1. 10월 9일 22:32레저, 크립토빌리스 판매 기기 관련 자금 손실 조사 첫 공지
2. 10월 11일 02:09피해자 기기 한 대에서 무단 부품 확인
3. 10월 12일 22:17요하네스, 미디어마크트에서 산 기기 두 대에서 부품 발견 주장
4. 10월 13일 15:39레저 돈전, 부품 작동 방식 공개
5. 10월 13일 21:29미디어마크트·자툰 판매 중단 발표

시각은 모두 한국시간이다. 레저는 전체 피해자 수와 피해액을 확인하지 않았다며 온라인에 도는 수치는 제3자 집계라고 했다. 디크립트에 따르면 온체인 조사자 스펙터(Specter)는 이더리움·트론·비트코인에서 8,600만 달러가 넘는 도난 의심 거래를 추적했다.

싱가포르 공항 판매분도 신고, 트레저는 판매처 정리

신고는 다른 지역에서도 나왔다. 마운트곡스 전 대표 마크 카펠레스는 13일 오후 5시께 X에 싱가포르 공항에서 팔린 레저 플렉스(Ledger Flex)에서 스파이 부품을 확인했다고 썼다. 레저는 이 건을 따로 확인하지 않았지만, 다른 기기와 다른 지역의 이식 부품 신고도 검토하고 있다고 밝혔다. 코인데스크에 따르면 레저 최고경영자 파스칼 고티에는 직판과 판매처에 적용하는 통제 장치를 점검하고 있다고 밝혔다.

경쟁사도 움직였다. 트레저(Trezor)는 12일 크립토빌리스에서 팔린 자사 기기가 조작됐다는 신고는 없다면서도 예방 차원에서 크립토빌리스를 공식 판매처 목록에서 뺐다고 밝혔다. 크립토빌리스는 말레이시아·필리핀·인도네시아에서 모든 브랜드의 하드웨어 지갑 판매·배송을 멈췄다.