하드웨어 지갑 업체 레저(Ledger)가 동남아시아 이용자들의 자금 유출 사고를 조사 중이다. 레저는 10월 9일(현지시각) 공식 지원 계정을 통해 동남아 리셀러(재판매업체) 크립토빌리스(CryptoBilis)에서 제품을 산 이용자들이 자금을 잃었다는 보고를 확인하고 있다고 밝혔다. 온체인 분석가가 추적한 피해 추정액은 8,600만 달러(약 1,150억 원, 1달러 1,342원 기준)를 넘는다.

레저는 원인과 피해 인원을 아직 밝히지 않았다. 다만 업계에서는 레저 기기 전반의 취약점이 아니라 특정 유통 경로에서 생긴 공급망 문제일 가능성이 거론된다.

레저의 대응: 판매 중단 요청과 ‘90일’ 권고

레저는 X(옛 트위터)에 올린 성명에서 “동남아 이용자들이 크립토빌리스라는 리셀러에서 제품을 구매한 뒤 자금을 잃었다는 보고를 조사하고 있다”고 밝혔다. 조사 결과가 나오기 전까지 예방 차원에서 크립토빌리스에 레저 기기의 모든 판매와 배송을 중단해 달라고 요청했다는 설명이다. 파리에 본사를 둔 레저가 판매 중단을 요구한 대상은 해당 리셀러 한 곳이다.

이용자에게는 구체적인 행동 지침도 내놨다. 최근 90일 안에 이 리셀러에서 기기를 산 이용자는 아직 설정을 하지 않았다면 설정을 시작하지 말라는 권고다. 이미 설정을 마쳤다면 새로운 시드(복구 문구)를 쓰는 새 레저 서명 기기로 자산을 옮기는 방안을 고려하라고 했다. 시드는 지갑의 개인 키를 되살릴 수 있는 마스터 백업이다.

레저는 조사가 진행되는 대로 고객에게 계속 알리겠다고 덧붙였다. 앞서 레저는 10월 7일 싱가포르 토큰2049 행사에서 지갑 앱 안에서 비트코인 연계 자산을 담보로 스테이블코인을 빌리는 기능을 공개한 바 있다. 신기능 공개 이틀 만에 보안 이슈를 수습해야 하는 처지가 됐다.

8,600만 달러 규모…이용자들 “서명한 적 없다”

사고는 소셜미디어에서 먼저 불거졌다. 엑스(X)와 레딧에 레저 이용자들이 지갑을 보호했고 시드도 지켰으며 자금 이동을 승인하는 거래에 서명한 적이 없는데도 자산이 빠져나갔다는 글이 잇따랐다. 레딧의 한 이용자는 “거의 10만 USDT가 빠져나갔다”며 시드 문구를 손으로 적어 금고에 보관했고 레저 스탁스(Stax)는 건드린 적이 없다고 썼다. 이 지갑은 자금을 받아 보관하는 용도로만 썼다고 한다.

온체인 분석가 스펙터(Specter)는 이용자들이 신고한 도난 주소를 추적했다. 이더리움·트론·비트코인 등 주요 블록체인에서 수백 개 피해 지갑의 자금이 이들 주소로 흘러든 흔적을 확인했다는 설명이다. 스펙터는 총 피해액이 8,600만 달러를 웃돈다고 밝혔다.

스펙터가 공유한 아캄(Arkham) 데이터에는 해당 주소들에 약 8,700만 달러가 있는 것으로 나타난다. 보도에 따라 이더리움이 약 4,200만 달러로 가장 많고 비트코인이 1,750만~1,760만 달러, 테더가 1,650만 달러 규모다. 일부 추적 서비스는 피해액을 9,000만 달러에 가깝게 잡고 있다.

한계도 분명하다. 레저는 이 금액을 확인하지 않았고, 모든 도난 건이 해당 리셀러와 연결되는지도 불분명하다. 피해액이 수천만 달러대에 이를 수 있다는 정도가 현재까지 공통된 분석이다.

원인은 공급망? 확인된 것과 아닌 것

하드웨어 지갑은 개인 키를 오프라인에 보관하도록 설계된다. 그러나 구매자 손에 닿기 전에 기기가 손상되면 자금이 노출될 수 있다. 공격자가 이미 알고 있는 복구 문구가 담긴 채 배송되는 경우가 한 예다. 디크립트는 다만 변조 사실이 확인된 것은 아니라고 전했다.

바이낸스 공동 창업자이자 전 최고경영자인 창펑 자오는 X에서 “지금까지의 정보로는 한 공급업체에 국한된 공급망 공격으로 보인다”고 말했다. 이어 “소수의 사람이 가짜(또는 변조된) 레저를 샀을 가능성이 높다”고 덧붙였다. 그는 “레저는 업계에서 가장 안전하고 오래된 하드웨어 지갑 중 하나이며 시간의 시험을 견뎠다”며 “하지만 이런 일은 일어난다”고 했다.

크립토브리핑은 레저 코어 하드웨어나 시스템의 결함이 아니라 공급망 어딘가에서 일어난 변조 가능성이 초기 추측으로 나온다고 전했다. 이 매체는 크립토빌리스를 동남아에서 활동하는 공인 유통업체라고 소개했다. 레저 기기 전반이 뚫렸다는 확인은 없고 우려는 한 유통업체를 거친 기기에 집중돼 있다.

테더도 움직였다. 크립토브리핑은 디펜트를 인용해 테더가 레저 이용자 도난과 연결된 USDT 9,000만 달러에 육박하는 물량을 동결했다고 전했다. 테더는 발행사로서 주소를 블랙리스트에 올려 해당 주소가 USDT를 보내지 못하게 막을 수 있다.

다만 동결이 곧 반환은 아니다. 피해자에게 돌아가려면 법적 조치나 조율된 반환 같은 후속 절차가 필요하다는 것이 크립토브리핑의 설명이다. 비트코인처럼 중앙 발행자가 없는 자산에는 이런 개입이 불가능해, 이번 조치는 USDT 부분에만 해당한다. 기기가 어떻게 손상됐는지와 다른 유통업체까지 피해가 번졌는지도 아직 가려지지 않았다.

시장은 담담…연이은 보안 사고가 남긴 부담

시장 반응은 제한적이었다. 코인텔레그래프에 따르면 비트코인은 목요일 80,350달러까지 내렸다가 금요일 미국 증시 개장 무렵 83,000달러를 되찾았다. 트레이딩뷰 데이터상 BTC/USD는 82,500달러 지지선 부근에서 움직였다. 24시간 기준 청산 규모는 10억 달러를 넘었다.

코인텔레그래프는 이날 가상자산 시장이 레저 도난 보도를 크게 의식하지 않은 듯 보였다고 전했다. 비트파이넥스 알파는 10월 14일 미국 소비자물가지수 발표를 앞두고 81,300달러에서 86,500달러 사이 박스권이 이어질 것으로 내다봤다. 84,000달러 재시험이 반복될 수 있다는 관측도 내놨다.

하드웨어 지갑 업계는 최근 보안 문제가 잇따랐다. 콜드카드는 7월과 8월에 걸쳐 다단계 해킹을 당했다. 경쟁사 트레저도 배송 파트너 침해로 고객 데이터가 노출됐고 지난달에는 이메일 침해를 겪었다고 디크립트는 전했다.

이번 일은 가상자산 보안에 힘든 시기에 더해진 사건이다. 지난달 비트겟은 북한과 연결된 것으로 조사된 해킹으로 약 3억 8,700만 달러를 잃었다. 북한 해커들은 솔라나 거래소 드리프트에 6개월간 침투한 끝에 2억 8,500만 달러 규모 공격을 벌였고, 9월에는 화이트햇 해커를 자처하는 이들이 블록스트림 리퀴드 사이드체인에서 비트코인 3억 2,000만 달러어치를 인출한 뒤 회사와 협상했다.