하드웨어 지갑 한 대 구매가 80 BTC의 대참사로
TREE NEWS 보도: 한 암호화폐 트레이더가 리셀러 CryptoBilis를 통해 Ledger 하드웨어 지갑을 구매한 후 80 BTC——현재 가격으로 약 660만 달러 상당——를 잃었다. 이 사건으로 하드웨어 지갑 공급망 침해와 관련된 추정 도난 손실액은 9,000만 달러에 이르렀으며, 이는 셀프 커스터디의 물리적 유통 계층이 얼마나 위험해졌는지를 보여준다.
이 수법은 이제 고통스러울 만큼 익숙하다. 공격자들은 기기가 구매자에게 도달하기 전에 가로채거나 변조하고, 미리 생성된 복구 문구를 심어 두고 기다린다. 피해자가 지갑에 자금을 넣으면 공격자는 잔액을 전부 쓸어간다. 이번 사례는 올해 기록된 단일 피해자 하드웨어 지갑 도난 중 가장 큰 규모 중 하나다.
하드웨어 지갑이 계속 침해되는 이유
하드웨어 지갑은 개인 키를 오프라인에 보관하도록 설계되었지만, 그 보안 모델은 기기가 진정으로 밀봉되어 변조되지 않은 상태로 도착한다고 가정한다. 리셀러, 지역 유통업체, 중고 마켓은 이 가정을 깬다. 비공식 채널——혹은 정품처럼 보이는 지역 리셀러——을 통해 구매한 사람은 이미 다른 누군가가 초기화한 기기를 받을 수 있다.
- 미리 심어진 복구 문구: 가장 흔한 경로. 공격자가 이미 알고 있는 문구와 함께 기기가 출하된다.
- 변조된 포장: 봉인과 상자는 대부분의 구매자를 속일 만큼 그럴듯하게 다시 밀봉된다.
- 가짜 설정 안내서: 인쇄된 설명서가 사용자를 미리 쓰인 시드 문구 입력으로 유도한다.
Ledger는 사용자들에게 공식 스토어에서만 구매하고, 설정 중에 스스로 새로운 복구 문구를 생성하라고 거듭 경고해 왔다. 회사는 또한 미리 쓰인 시드 문구와 함께 기기를 출하한 적이 없다고 강조했다. 그럼에도 리셀러 채널은 끈질긴 약점으로 남아 있다.
셀프 커스터디의 더 넓은 문제
이번 손실은 셀프 커스터디 서사에 어색한 시점에 발생했다. 현물 비트코인 ETF와 기관 커스터디 상품이 수십억 달러의 유입을 흡수하는 가운데, 개인 보유자들은 자신의 키를 직접 보관하는 것만이 진정으로 주권적인 선택지라고 들었다. 그 논리는 원칙적으로 타당하지만, 하드웨어 공급망이 구멍투성이이고 사용자가 기기의 무결성을 검증할 전문성을 갖추지 못한 현실에서는 취약하다.
금전적 피해는 피해자에 그치지 않는다. 이런 사례는 규제 당국의 회의론을 부추기고, 암호화폐 하드웨어에 대한 더 엄격한 소비자 보호 규칙 요구를 강화하며, 셀프 커스터디가 주류 채택에는 너무 위험하다고 주장하는 비판자들에게 무기를 준다.
앞으로의 전개
세 가지 발전이 예상된다. 첫째, 리셀러와 지역 유통업체에 대한 더 많은 감시이며, 하드웨어 지갑 벤더에 대한 라이선스 요건이 포함될 가능성도 있다. 둘째, 하드웨어 제조사들은 변조 흔적 포장, 증명 칩, 기기가 한 번도 초기화된 적 없음을 증명하는 앱 기반 검증의 도입을 가속할 것이다. 셋째, 보험사와 커스터디언이 셀프 커스터디 사용자를 위한 검증 서비스를 제공하기 시작할 수 있다——빠르게 성장할 수 있는 틈새 시장이다.
현재로서 교훈은 냉혹하다. 하드웨어 지갑의 보안은 그것을 전달한 보관의 사슬만큼만 안전하다. 비공식 리셀러에게서 구매하면 모든 것을 잃을 수 있다.
