라마보르기니, 비밀유지계약, 헤이룽장성 사장…… Ledger 해킹 사건은 의혹이 가득하다

원문 | Odaily (OdailyChina, @OdailyChina)

저자｜Azuma (@azuma_eth)

항상 "가장 안전한 코인 보관 방법"으로 여겨졌던 콜드월렛이 더 이상 안전하지 않게 되었다.

10월 9일 저녁, 온체인 탐정 Specter는 X와 Reddit에서 Ledger 사용자들의 지갑이 도난당했다는 보고가 잇따라 나타나고 있다고 밝혔다. 관련 주소를 추적한 결과, Specter는 해당 주소들이 이더리움, TRON, 비트코인 등 여러 주요 블록체인상의 수백 개 지갑으로부터 자금을 수령했으며, 누적 손실이 8600만 달러를 초과한다는 사실을 발견했다.

공급망 이상에서 하드웨어 이식 의혹까지, 문제는 어디에 있는가?

도난 사건 발생 후, Ledger 측은 즉시 성명을 발표하며 조사 단서를 CryptoBilis라는 유통업체로 지목했다.

Ledger는 동남아시아 사용자들의 자산 도난 사건을 조사 중이며, 해당 사용자들은 이전에 유통업체 CryptoBilis를 통해 기기를 구매한 바 있다고 밝혔다. Ledger는 해당 유통업체에 판매 및 배송 중단을 요청했으며, 지난 90일 이내에 해당 채널을 통해 기기를 구매한 사용자들에게는 초기화를 하지 말 것을 권고했다. 이미 설정을 완료한 사용자는 새로운 니모닉 문구로 새로운 Ledger 서명 기기를 생성하고 자산을 새 지갑으로 이전해야 한다.

더 구체적인 단서는 전 Mt. Gox CEO인 Mark Karpelès로부터 나왔다. 10월 8일에 Karpelès는 이미 시장에서 숨겨진 SIM 카드가 내장된 위조 또는 변조된 Ledger 기기가 판매되고 있다고 경고한 바 있으며, 이 SIM 카드들은 탈취된 니모닉 문구를 전송할 수 있다고 했다.

그리고 사건 발생 후, Karpelès는 말레이시아에서 구매한 Ledger 하드웨어 지갑의 외부 포장은 온전했지만, 화면 패드 아래에 SIM 카드 칩이 있는 의심스러운 모듈이 숨겨져 있었다고 추가로 폭로했다.

SlowMist의 최고정보보안책임자 23pds는 이를 근거로 공격자가 악성 모듈을 통해 기기 화면에 표시되는 데이터를 가로채고, 사용자가 지갑을 초기화하거나 니모닉 문구를 확인할 때 복구 문구를 기록한 후 LTE 또는 eSIM을 통해 정보를 전송했을 가능성이 있다고 추측했다.

이러한 공격의 위험성은 하드웨어 지갑의 보안성에 대한 사용자들의 일반적인 인식을 우회할 수 있다는 점에 있다. 하드웨어 지갑의 보안 요소는 개인 키를 보호하여 직접 읽히는 것을 방지할 수 있지만, 주변 하드웨어가 화면 정보를 가로채는 것을 반드시 막을 수는 없다. 다시 말해, 핵심 보안 요소가 뚫리지 않았더라도 기기가 물리적으로 변조되면 니모닉 문구가 유출될 수 있다.

다만, 위 공격 메커니즘은 현재로서는 기술적 추측에 불과하며, 이번 보안 사건의 구체적인 원인은 추가 검증이 필요하다. 또 다른 견해로는, 공격자가 어제 행동에 나선 이유가 Karpelès의 경고가 점차 확산되면서 공격자가 자신의 행동이 이미 노출되었다고 우려했기 때문에 자금을 이동시키기 시작했다는 것이다.

만약 이 공격 경로가 최종적으로 확인된다면, 이번 사건이 드러내는 것은 특정 지갑의 보안 문제만이 아니라 더 근본적인 위험이다. 즉, 사용자가 자신이 손에 쥔 하드웨어가 출하부터 배송까지 신뢰할 수 있음을 확인할 수 없을 때, 자기 수탁(self-custody)은 얼마나 안전할 수 있는가?

람보르기니, 비밀유지 제한, 지분 소유자 변경……CryptoBilis는 의문투성이

조사가 깊어지면서, 문제의 유통업체 CryptoBilis의 배경도 점차 드러나기 시작했다.

CryptoBilis는 말레이시아 페탈링자야에 위치한 Web3 전자상거래 및 자기 수탁 도구 판매업체로, 하드웨어 지갑 등의 제품을 취급한다. 공개 자료에 따르면, 이 회사는 Arravind Prabu와 Vimal Selvamany가 공동 설립했으며, 전자가 CEO, 후자가 CTO를 맡고 있다.

하지만 사건이 주목을 받은 후, Arravind Prabu는 재빨리 X에서 자신이 여전히 CryptoBilis를 운영하고 있다는 외부의 주장은 정확하지 않다고 해명했다. 회사는 이미 올해 3월에 인수되었으며, 원래 경영진은 모든 운영, 관리 및 시스템 권한에서 물러났다는 것이다. 현재 사안에 대해서는 외부인들이 현 책임자인 Nicholas Chang(nicholas@cryptobilis.com)에게 연락할 것을 권고했다.

커뮤니티 사용자들은 곧바로 계속追问하며, 회사가 이미 주인이 바뀌었다면 왜 이전에 공식 발표가 없었는지, 계정의 최근 게시물조차 여전히 람보르기니를 자랑하고 있는지 물었다… Arravind Prabu는 이에 대해 해당 게시물은 새 경영진이 올린 것이며, 원래 팀은 계약상의 비밀유지 조항 때문에 10월 19일이 되어서야 거래를 공개적으로 발표할 수 있었고, 현재는 회사의 계정, 백엔드 및 운영 시스템에 접근할 수 없다고 답변했다.

원래 경영진이 운영에서 물러났다는 것은 전 CEO의 공개적인 주장이며, 인수인계 후 회사 내부에서 실제로 무슨 일이 있었는지에 대해서는 현재 독립적으로 검증된 정보가 부족하다.

또 다른 더 주목받는 단서는 회사 지분에서 나왔다. Bitcoin News는 사건 후 관련 지분 이전 기록을 공개하며, JIAMING이라는 이름의 중국 헤이룽장성에 등록 주소를 둔 개인이 8월 3일부터 CryptoBilis의 100% 지분을 보유하고 있다고 밝혔다.

이는 적어도 공개 정보로 볼 때, CryptoBilis가 표면적으로는 의심스러운 공급망 공격이 발생하기 수개월 전에 실제로 주인이 바뀌었음을 의미한다. 다만, 지분 변경의 구체적인 거래 조건, 새 경영진의 실제 운영 상황, 그리고 새 주주가 문제의 기기와 관련이 있는지에 대해서는 현재 확실한 증거로 확인할 수 없다. 새 주주의 등록 주소나 인수 시점만으로 이를 도난 사건과 직접 연결할 수는 없다.

조사에 직면하여, CryptoBilis는 공식 X 계정을 통해 말레이시아, 필리핀 및 인도네시아의 모든 매장 및 온라인 채널에서 하드웨어 지갑 판매 및 배송을 중단하고, 오프라인 매장을 일시적으로 폐쇄한다고 공개적으로 발표했다. 이 회사는 이번 조치가 Ledger 보안 사건 조사에 협력하고 독립 전문가의 내부 프로세스 검토를 받기 위한 것이라고 밝혔으며, 아직 배송되지 않은 주문은 고객 서비스가 주도적으로 연락하여 처리할 것이고, 추가 진행 상황은 3영업일 이내에 발표될 예정이라고 밝혔다.

기사 작성 시점까지, 사건의 가장 핵심적인 의문은 여전히 풀리지 않았다 — 기기가 어느 단계에서 변조되었는지, 기존 공급망이 누군가에 의해 악용되었는지, 그리고 현 경영진이 배송 과정을 복원할 수 있는 기록을 제공할 수 있는지 — 이러한 문제들은 모두 후속 조사와 공개를 통해 답이 나오기를 기다려야 한다.

개별 손실 사례: 한 고래는 일주일 전에야 지갑을 샀는데……

현재 온체인 추적 상황을 보면, 이번 사건의 손실은 규모가 놀라울 뿐만 아니라 자금 흐름도 다양한 특징을 보인다.

Galaxy 리서치 책임자 Alex Thorn은 분석을 통해 이번 Ledger, CryptoBilis 공급망 사건과 관련된 비트코인 손실이 현재 213.42 BTC로, 당시 가격 기준 약 1770만 달러에 해당한다고 밝혔다. 그중 약 92%의 비트코인은 집계 시점에 보유 기간이 90일 미만이었다. 현재 추적된 관련 BTC는 아직 사용되지 않았으며, 3개의 집계 주소에 집중 보관되어 있다.

개별 피해자의 손실은 더욱 충격적이다. Lookonchain 모니터링에 따르면, TY24Ya로 표시된 주소의 한 사용자는 3주 전에 관련 Ledger 기기를 구매한 후 지갑에 700만 USDT를 입금했지만, 이 자금은 약 10시간 이내에 전부 이체되었다. 또 다른 사용자는 4개월 전 약 520만 달러에 80 BTC를 매수하여 한때 약 138만 달러의 평가이익을 냈지만, 일주일 전 CryptoBilis에서 Ledger 기기를 구매한 후 모든 BTC를 해당 기기로 이체하여 결국 전액 손실을 입었다.

자금을 되찾을 수 있을까?

사건 발생 직후, 공격자는 재빨리 자금 세탁과 믹싱 과정을 시작했다.

온체인 분석 기관 Onchain Lens의 추적에 따르면, 공격자로 의심되는 자는 이미 4개의 지갑을 통해 Tornado Cash에 430.2 ETH(약 107만 달러 상당)를 입금하여 이더리움 체인상의 추적 경로를 끊으려 시도했다.

동시에, 업계에서는 공격자의 범죄 자금에 대한 "포위"도 시작되었다. Tether는 현재 이번 사건과 관련된 일부 USDT를 동결했지만, 해커의 대응 또한 교활하고 전문적이어서 Tether가 조치를 취한 후 재빨리 트론 생태계의 SUN.io와 USDD PSM 메커니즘을 이용하여 동결되지 않은 USDT를 검열 저항성이 더 강한 탈중앙화 스테이블코인 USDD로 즉시 교환했으며, 일부 이체에는 바이낸스 핫월렛도 관련되어 있다(이는 향후 해커 신원을 식별하는 단서가 될 수 있다).

현재 자금 추적의 핵심은 중앙화 플랫폼이나 동결 가능한 스테이블코인 주소에 남아 있는 자금을 적시에 식별하고 차단할 수 있는지에 달려 있으며, 이미 믹싱 프로토콜에 들어갔거나 크로스체인 이동 또는 기타 복잡한 경로를 거친 자산은 추적 및 회수 난이도가 더욱 높아질 수 있다.

현재까지 Ledger는 완전한 자금 회수 방안을 발표하지 않았으며, 피해자 보상安排도 공개하지 않았다. 조사가 진행됨에 따라 자산 회수 가능성과 책임 소재는 추가 확인이 필요하다.

콜드월렛, 더 이상 절대적으로 안전한 답이 아니다

오랫동안 콜드월렛은 암호화폐 자산 자기 수탁의 가장 신뢰할 수 있는 방안 중 하나로 여겨져 왔으며, Ledger는 이 시장에서 가장 대표적인 브랜드였다. 거래소 수탁과 비교할 때, 사용자가 직접 개인 키를 보관하는 것은 원래 제3자에 대한 의존을 줄이기 위한 것이었다. 하지만 이번 사건은 불편한 질문을 제기한다 — 사용자가 구매한 기기가 배송 전에 물리적으로 변조되었다면, 포장이 온전하고 핵심 보안 요소가 뚫리지 않았더라도 자산은 여전히 위험에 노출될 수 있다.

물론, 현재 사건의 구체적인 공격 경로는 아직 최종 확인되지 않았으며, 이를 근거로 하드웨어 지갑의 전반적인 안전성을 부정할 수는 없다. 하지만 이는 적어도 사용자들에게 보안이 기기 자체뿐만 아니라 구매 채널, 초기화 과정 및 니모닉 문구 보관 방식에 달려 있다는 점을 상기시킨다.

위험이 공급망의 근원에서 시작될 수 있다면, 가장 안전해 보이는 자기 수탁 방안조차 무너질 수 있다. 이번에는 정말로 방비하기 어렵게 만들었다.