Ledger, 8,600만 달러 유출 의혹 속 CryptoBilis 리셀러 판매 중단
TREE NEWS 보도: 하드웨어 지갑 제조사 Ledger가 제3자 리셀러 CryptoBilis를 통한 판매를 일시 중단하고 최근 구매자들에게 경고를 발령했다. 온체인 분석가가 해당 리셀러를 통해 판매된 기기와 연결된 지갑에서 약 8,600만 달러의 사용자 자금이 유출되었다고 주장한 데 따른 조치다. 이번 움직임은 공급망 무결성과 암호화폐 자기보관(self-custody)을 뒷받침하는 신뢰 모델에 대한 긴급한 의문을 제기한다.
무슨 일이 있었나
Ledger는 해당 주장을 조사 중이며 검토가 완료될 때까지 리셀러 관계를 중단했다고 확인했다. 회사는 CryptoBilis를 통해 기기를 구매한 고객들에게 Ledger 또는 다른 공식 채널에서 직접 구매한 기기로 생성한 새 지갑으로 자금을 이동할 것을 촉구했다. 8,600만 달러라는 수치를 제시한 분석가는 시드 문구가 침해된 패턴을 지적하며, 기기가 최종 사용자에게 도달하기 전에 사전 초기화되거나 변조되었을 가능성을 시사했다.
하드웨어 지갑은 개인 키를 오프라인으로 유지하고 인터넷에 연결된 기기로부터 격리하도록 설계되었다. 그러나 그 보안 보장은 기기가 공장에서 사용자 손에 들어올 때까지 정품이며 변조되지 않았음을 전제로 한다. 악의적인 리셀러는 이론적으로 자신이 통제하는 시드 문구를 미리 탑재하고, 기기를 봉인한 뒤, 나중에 사용자가 입금한 자금을 모두 쓸어갈 수 있다.
자기보관에 왜 중요한가
이번 사건은 하드웨어 지갑의 핵심 가치 제안인 무신뢰(trustless) 보안을 정면으로 겨냥한다. 공급망이 훼손될 수 있다면, 자기보관과 수탁 리스크 사이의 경계는 좁아진다. 수년간 사용자들에게 “키가 네 것이 아니면 코인도 네 것이 아니다”라고 말해온 업계에 평판상 stakes는 상당하다.
- 공급망 신뢰: 사용자는 기기 진위를 검증하고, 스스로 시드 문구를 생성하며, 사전 구성된 지갑을 절대 받아들이지 말아야 한다.
- 리셀러 리스크: 제3자 판매자는 할인을 제공하지만, 제조사가 완전히 통제할 수 없는 추가 공격 표면을 도입한다.
- 분석가의 정밀 조사: 온체인 탐정들은 유출된 지갑을 특정 기기 배치와 연결하는 사례를 늘리고 있으며, 이는 더 빠른 공개에 대한 압력을 만들고 있다.
더 넓은 함의
Ledger는 이전에도 일부 사용자가 자기보관 원칙을 훼손한다고 본 펌웨어 및 복구 기능을 두고 비판을 받은 바 있다. 이번 사건은 물리적 공급망 무결성이라는 새로운 차원을 더한다. Trezor와 Coldcard 같은 경쟁 제조사들은 벤더 직접 구매를 원하는 사용자들로부터 수요 증가를 볼 수 있으며, 시장 전반의 리셀러들은 더 엄격한 조사를 받을 수 있다.
규제 당국도 하드웨어 지갑 마케팅과 보안 주장에 주목하기 시작했다. 변조가 확인될 경우, 인증 표준, 변조 흔적 표시 포장 의무화, 리셀러에 대한 더 명확한 공개 요건에 대한 요구가 커질 것으로 예상된다.
앞으로의 전망
Ledger의 조사는 면밀히 주시될 것이다. 핵심 질문은 변조가 리셀러 단계, 물류, 또는 공급망의 더 이른 단계에서 발생했는지, 그리고 다른 리셀러들도 영향을 받았는지 여부다. 사용자는 비공식 채널에서 나온 기기를 의심스러운 것으로 취급하고, 지갑을 재생성하며, 자산을 이동해야 한다. 이번 사건은 암호화폐에서 보안은 가장 약한 고리만큼만 강하며, 그 고리는 디지털뿐 아니라 물리적일 수도 있다는 점을 상기시킨다.
