OneKey, 지갑 침해 이후 말레이시아 리셀러와 관계 단절
TREE NEWS 보도: 하드웨어 지갑 제조사 OneKey가 해당 채널을 통해 판매된 Ledger 지갑과 관련된 일련의 자금 도난 사건 이후 말레이시아 소매업체 CryptoBilis의 제품 유통 인증을 취소했다. 이 회사는 또한 영향을 받은 사용자에게 무료 기기 교체를 제공하고 있으며, 이는 셀프 커스터디 시장에서 공급망 무결성이 얼마나 진지하게 다뤄지는지를 보여주는 조치다.
온체인 조사 업체 YFarmX는 해당 리셀러를 통해 유통된 기기와 관련된 의심스러운 활동을 가장 먼저 지적한 곳 중 하나였고, 이는 OneKey의 행동을 촉발했다. 정확한 공격 경로는 여전히 조사 중이지만, 이 사건은 잘 알려진 패턴에 부합한다. 즉, 공장과 최종 사용자 사이에서 하드웨어 지갑이 가로채여 변조된 후 배송 전에 다시 밀봉되는 것이다.
리셀러 채널이 약한 고리인 이유
하드웨어 지갑은 구매자에게 도달하는 경로만큼만 신뢰할 수 있다. 공식 스토어와 공인 유통업체는 제조사가 포장, 펌웨어 제공, 변조 방지 봉인을 통제할 수 있게 해준다. 제3자 리셀러, 특히 국경을 넘어 운영되는 업체들은 종종 그 사슬을 끊는다.
- 미리 설정된 복구 문구: 일부 침해된 기기는 사전 초기화된 시드 문구와 함께 배송되어, 사용자가 자금을 입금하는 순간 공격자가 자금을 쓸어갈 수 있게 한다.
- 펌웨어 변조: 변조된 펌웨어는 키를 유출하거나 서명 중 가짜 주소를 표시할 수 있다.
- 재포장: 기기는 개봉되고 복제된 뒤 구매자가 알아차릴 수 없을 만큼 설득력 있게 다시 밀봉될 수 있다.
CryptoBilis의 인증을 취소하고 무료 교체를 제공하기로 한 OneKey의 결정은 평판을 지키기 위한 방어적 조치이지만, 동시에 선례를 만든다. 하드웨어 벤더들은 악의적인 리셀러 하나가 전체 제품 라인에 대한 신뢰를 훼손할 수 있다는 점을 점점 더 잘 이해하고 있다.
셀프 커스터디의 신뢰 역설
아이러니는 날카롭다. 하드웨어 지갑은 사용자가 커스터디언을 신뢰하지 않아도 되도록 존재한다. 그러나 유통 계층은 대부분의 구매자가 전혀 scrutinize하지 않는 신뢰할 수 있는 중개자를 다시 도입한다. 도난 사건에서 지목된 브랜드인 Ledger는 펌웨어와 복구 서비스 설계를 둘러싸고 자체적인 논란에 직면해 왔지만, 이번 사건은 기기 아키텍처 자체보다 소매 공급망에 초점이 맞춰져 있다.
더 넓은 시장에 대한 교훈은 절차적이다. 구매자는 제조사나 검증된 파트너로부터 직접 구매하고, 기기를 스스로 초기화하며, 미리 생성된 시드 문구를 절대 받아들이지 말아야 한다. 한편 벤더는 감사 권한과 명확한 리콜 메커니즘을 갖춘 강제 가능한 리셀러 계약이 필요하다.
앞으로 일어날 일
OneKey와 동종 업체들은 유통업체 심사를 강화하고, 일련번호 검증 도구를 추가하며, 사용자가 온체인 또는 컴패니언 앱을 통해 확인할 수 있는 변조 감지 기능을 내장할 가능성이 있다. 디지털 자산에 대한 소비자 보호 규칙을 이미 초안 작성 중인 동남아시아 규제 당국은 리셀러 책임에 관심을 보일 수 있다.
이 사건이 셀프 커스터디에 대한 장기 수요를 꺾을 가능성은 낮지만, 암호화폐에서 가장 약한 고리는 종종 암호학적이 아니라 물리적이라는 점을 상기시킨다.
