Ledger 하드웨어 월렛 피해 9290만 달러, 뚫린 곳은 동남아 리셀러였다

Ledger 하드웨어 월렛은 어디서 뚫렸나

뚫린 곳은 금고의 자물쇠가 아니라 금고를 배달한 트럭이었다. Ledger는 동남아 리셀러에서 산 기기 가운데 한 대에서 승인되지 않은 하드웨어 임플란트를 확인했다.

하드웨어 월렛을 쓰는 투자자에게 이 사건이 뜻하는 바는 하나다. 같은 Ledger라도 어디서 샀느냐에 따라 안전이 달라진다.

리셀러 CryptoBilis는 인도네시아·말레이시아·필리핀에서 영업한다. 조사가 끝날 때까지 하드웨어 월렛 재고 전체의 판매를 멈췄다.

Ledger는 일요일 X에 피해 사용자들에게 연락하고 있다고 밝혔다. 조사관 Specter는 비트코인·이더리움·트론에 걸친 피해가 8600만 달러를 넘을 수 있다고 봤다.

숨겨진 칩은 무엇을 빼냈나

Tibane Labs의 10월 9일 분석에 따르면 칩은 마이크로컨트롤러, 셀룰러 통신 부품, 화면 내부 데이터 라인으로 이어진 구성으로 추정된다.

그렇다면 지갑을 처음 만들 때 화면에 뜨는 시드 문구를 가로채 바깥으로 보낼 수 있다. 시드 문구는 지갑의 마스터키다. 그것을 쥔 사람이 코인의 주인이 된다.

Ledger는 이 칩의 실제 기능을 독립적으로 확인하지는 않았다.

2023년 가짜 Trezor 사건과 무엇이 같은가

2023년 5월 Kaspersky는 중고거래 사이트에서 산 가짜 Trezor Model T를 뜯어봤다. 마이크로컨트롤러가 바뀌어 있었다.

공격자는 보안 검증을 지우고, 시드 문구를 미리 만들어 둔 20개 중 하나로 바꿔치기했다. 추가 비밀번호는 첫 글자만 먹히게 해 조합을 64가지로 줄였다.

피해자가 상자를 열기도 전에 키는 이미 공격자 손에 있었다.

2023년은 미리 심은 문구, 2026년은 통신 부품으로 빼내는 칩이다. 수법은 진화했지만 뚫린 자리는 같다. 제조사가 통제하지 못하는 판매 전 유통 단계다.

피해 9290만 달러, 비트코인보다 USDT가 컸다

Bitquery의 10월 9일 추정은 총 피해를 약 9290만 달러로 잡았다. 이 가운데 트론 기반 USDT가 약 7050만 달러로 가장 컸다.

비트코인은 약 1680만 달러, 이더리움·BNB체인·폴리곤 등 나머지가 약 570만 달러였다.

하드웨어 월렛이 비트코인 장기 보관용으로만 쓰이지 않는다는 뜻으로 읽힌다. 거래 대기 자금인 스테이블코인도 같은 기기에 쌓여 있었다.

같은 날 Strategy와 Meanwhile은 왜 비트코인을 더 늘렸나

Strategy는 10월 5일 8-K에서 9월 28일~10월 4일 비트코인 334개를 2870만 달러에 샀다고 공시했다. 보유량은 정확히 84만8000개가 됐다.

마이클 세일러 의장은 일요일 X에 "There’s always room for more orange"라고 올렸다. 콜럼버스 데이로 연방기관이 쉬어 공시는 화요일 이후에 나올 전망이다.

비트코인으로만 운영 인가를 받은 버뮤다 생명보험사 Meanwhile은 기존 투자자에게서 3750만 달러를 더 받았다. 누적 유치액은 1억8000만 달러를 넘었다. Bain Capital Crypto가 주도했다.

Zac Townsend CEO는 "Wealthy families around the world already hold Bitcoin. What they haven’t had is a regulated way to pass it on"이라고 말했다.

돈과 위험은 결국 누구에게 남나

Strategy와 Meanwhile의 공통점은 비트코인을 공시와 규제의 틀 안에 둔다는 것이다. 보관의 신뢰를 제도로 산다.

개인은 다르다. Ledger가 피해자에게 보상하는지는 공식 언급이 없다. CryptoBilis가 공식 리셀러였는지도 보도마다 엇갈린다.

구매대행이나 제3자 판매처로 하드웨어 월렛을 사는 국내 투자자라면, 포장이 멀쩡해도 안을 장담할 수 없다는 것이 두 사건의 교훈이다.

코인 보관의 마지막 약한 고리는 기술이 아니라 영수증에 적힌 판매처였다.