트레저 지갑에도 ‘몰래 심은 회로’ 신고…크립토빌리스 구매자 경고

하드웨어 지갑 업체 트레저(Trezor)가 동남아시아의 옛 공식 판매점 크립토빌리스(CryptoBilis)에서 팔린 자사 기기 '트레저 세이프 5' 1대에서 몰래 심은 회로가 발견됐다는 신고를 28일 받았다고 30일 밝혔다. 트레저는 아직 기기를 직접 검사하지 못했지만 신고 내용을 믿을 만하다고 보고, 2026년 3월 이후 크립토빌리스에서 트레저 기기를 산 사람은 새 복구 문구로 만든 지갑으로 자산을 서둘러 옮기라고 공지했다. 이달 초 같은 판매점을 거친 레저(Ledger) 지갑에서 개조가 확인된 데 이어, 다른 제조사 기기에서도 비슷한 신고가 나온 것이다.

판매 중단 3주 만에 날아든 신고

트레저가 공지에 함께 올린 경과는 다음과 같다.

1. 10월 9일레저가 크립토빌리스에서 산 기기와 관련된 자금 손실 신고를 조사하기 시작하고 판매 중단을 요청했다. 트레저도 같은 날 크립토빌리스에 모든 트레저 기기 판매를 멈추라고 요청했고, 크립토빌리스는 이를 따랐다.
2. 10월 10일레저가 피해 기기 가운데 최소 1대에서 허가받지 않은 하드웨어 삽입물을 확인했다.
3. 10월 13일레저 보안팀 돈전(Donjon)이 삽입물이 화면 내용을 읽어 복구 문구를 LTE 이동통신망으로 내보낸다는 세부 내용을 공개했다. 트레저는 같은 날 앞으로 공식 판매처 수를 줄이기로 했다.
4. 10월 14일트레저가 크립토빌리스 구매자들에게 검사용으로 기기를 보내 달라고 요청했다.
5. 10월 19일부터돌아온 기기 4대를 검사했지만 개조 흔적은 나오지 않았다.
6. 10월 28일인도네시아의 한 트레저 고객이 8월에 산 세이프 5에서 삽입물이 의심된다고 신고했다. 트레저 보안·하드웨어·판매처 담당 팀이 같은 날 신고 내용과 사진, 영수증을 검토했다.

앞서 검사한 4대는 4월 6일에 주문된 세이프 7 1대, 6월 7일에 주문된 세이프 5 2대, 8월 4일에 주문된 세이프 3 1대였다. 트레저는 10월 9일 크립토빌리스를 판매점에서 뺀 것은 예방 조치였는데, 이번에 비슷한 공격을 받았을 수 있는 기기 1대의 증거가 처음 나왔다고 설명했다.

본체와 화면 사이에 끼운 기판 한 장

신고에 따르면 문제의 세이프 5에는 본체 기판과 화면 사이에 기판이 한 장 더 들어 있었고, 여기에 이동통신 모듈과 안테나가 달려 있었다. 이 장치는 화면에 뜨는 내용, 곧 지갑 복구 문구(시드 문구·지갑을 되살리는 단어 목록)까지 읽어 기기가 연결될 때마다 이동통신망으로 내보낸다. 트레저는 이 설명을 아직 스스로 확인하지 않았다고 덧붙였다.

기기는 인도네시아 온라인 쇼핑몰 토코피디아(Tokopedia)에 있는 크립토빌리스 매장에서 산 것이다. 신고자는 기기 무게가 다르다는 점을 알아챘는데, 삽입물을 찾기 전에 이미 자금을 다른 곳으로 옮겨 둔 상태였다. 트레저는 신고자를 화상으로 면담했고 기기를 연구실로 받는 대로 직접 검사하겠다고 밝혔다. 크립토빌리스 구매자 가운데 자금을 잃었다고 알려 온 사람은 아직 없다고 했다.

"지금까지 본 것만으로도 충분히 정교해 보여 지금 경고하기로 했다. 연구실 확인을 기다리면 그동안 크립토빌리스 구매자가 위험에 노출된다."

트레저 공지

레저 사례와 같은 범인인지에 대해 트레저는 제조사마다 기기 구조가 달라 조사 중에는 비교하지 않겠다며 누가 벌인 일인지 모른다고 했다. 레저 등 조사에 참여한 곳들과 정보를 나누고 있고, 보안 사고 긴급 대응 조직 SEAL 911이 대응을 도왔다.

다른 기기에 옛 복구 문구를 넣어도 소용없다

트레저는 신고된 기기가 세이프 5 1대뿐이지만 안내는 크립토빌리스에서 산 모든 트레저 모델에 적용된다고 밝혔다. 토코피디아 매장을 포함해 크립토빌리스가 물건을 댄 모든 판매처가 대상이며, 어디서 샀는지 모르면 영수증의 판매자 이름을 확인하라고 했다.

트레저는 무게를 재거나 기기를 열어 보는 방법으로는 개조 여부를 가릴 수 없다고 했다. 무게 차이는 다른 이유로도 생길 수 있어 저울로는 개조를 확인할 수도, 배제할 수도 없다는 것이다. 또 이번 일을 빌미로 가짜 이메일·우편·전화를 보내는 사기가 늘어날 수 있다며, 트레저 고객지원은 복구 문구를 절대 묻지 않는다고 강조했다. 다른 판매처나 지역에서 들어온 비슷한 신고는 아직 없다고 했다.