암호화폐 하드웨어 지갑의 대명사 레저(Ledger)가 동남아시아 리셀러 '크립토빌리스(CryptoBilis)'를 통해 판매된 일부 기기에서 암호화폐 도난 사고가 발생했다고 공식 발표했습니다. 레저는 피해 기기를 분석한 결과, 내부에서 무단으로 삽입된 스파이 칩을 확인했으며, 이 칩이 사용자들의 시드 구문(seed phrase)을 탈취하여 자금 유출의 원인이 된 것으로 파악하고 있습니다. 이번 사건은 하드웨어 지갑의 공급망 보안에 대한 심각한 경고를 던지고 있습니다.
발견된 스파이 칩은 레저 나노 X(Ledger Nano X) 모델에 삽입되었으며, 화면 출력과 버튼 입력을 가로채 시드 구문을 알아내는 정교한 방식으로 작동했습니다. 특히 이 칩은 eSIM 기반의 LTE 연결을 통해 탈취한 정보를 공격자에게 실시간으로 전송하는 기능을 갖추고 있었습니다. 일부 변조된 기기는 원래 배터리를 더 작은 것으로 교체하여 스파이 칩을 위한 공간을 확보했으며, 안테나 케이블이 외부로 이어져 변조의 단서가 되기도 했습니다. 레저는 현재까지 접수된 비정상 자금 유출 신고가 모두 크립토빌리스 판매 기기와 연결되어 있으며, 피해 규모는 제한적이라고 밝혔지만, 기기가 언제 어떤 경로로 변조되었는지는 아직 불명확한 상태입니다.
이번 사건은 암호화폐 자산을 보호하는 하드웨어 지갑의 신뢰성에 큰 타격을 주었으며, 공급망 공격의 심각성을 다시 한번 일깨웠습니다. 특히 레저의 '정품 확인(Genuine Check)' 기능조차도 보안 요소(Secure Element)가 온전하게 남아있으면 추가된 하드웨어 삽입물을 탐지하지 못한다는 점은 사용자들에게 충격을 주고 있습니다. 레저는 크립토빌리스 구매자들에게 미설정 기기는 설정을 시작하지 말고, 이미 설정했다면 새 시드를 사용하는 새 레저 기기로 자산을 옮길 것을 권고했습니다. 이는 하드웨어 지갑이 제공하는 '직접 보관(self-custody)'의 안전성이 단순히 기기 자체의 보안을 넘어 제조 및 유통 과정 전체의 신뢰에 달려 있음을 보여주는 사례입니다.