암호화폐 하드웨어 지갑 제조사 레저(Ledger)가 동남아시아 리셀러 '크립토빌리스(CryptoBilis)'를 통해 유통된 일부 기기에 암호화폐를 탈취하는 하드웨어 임플란트가 심어져 있었다고 공식 확인했다. 크립토빌리스는 말레이시아에 기반을 두고 동남아 전역에서 영업하는 대형 하드웨어 지갑 판매업체다. 레저는 이 경로로 지갑을 구매한 사용자들이 자금을 잃었다는 신고를 조사해 왔고, 10월 9일 조사에 착수하면서 크립토빌리스에 레저 기기 판매와 배송을 중단할 것을 요청했다. 다음 날에는 최소 한 대의 기기에서 하드웨어 변조를 확인했다고 밝혔지만, 변조가 정확히 언제 어떤 방식으로 이뤄졌는지는 아직 분명하지 않다.
레저는 "피해 사용자 기기 중 한 대에 승인되지 않은 하드웨어 임플란트가 들어 있었음을 확인했으며, 조사 과정에서 피해자들에게 직접 연락하고 있다"고 설명했다. 또한 수사 당국과 협력해 범인을 추적하고 있다고 덧붙였다. 회사 측은 해당 리셀러에서 기기를 구입했으나 아직 설정하지 않은 사용자는 초기 설정을 진행하지 말 것을, 이미 설정을 마쳤다면 새로운 시드로 생성한 새 레저 기기로 자산을 옮길 것을 권고했다. 이후 추가 업데이트에서 레저는 자금 유출 신고가 모두 크립토빌리스를 통해 판매된 기기와 연결돼 있으며, 영향 규모는 '제한적'이라고 밝혔다.
화면 뒤에 숨은 임플란트
레저는 변조된 기기의 종류를 공개하지 않았지만, 온라인에서는 레저 나노 X에 심긴 스파이 임플란트가 집중적으로 거론된다. 임플란트가 정품 부품과 자연스럽게 섞여 들어가 있다는 것이다. 과거 Mt. Gox의 최고경영자였고 현재 카르펠레 랩(Karpeles Lab)을 이끌며 Shells.com의 CTO를 맡고 있는 마크 카르펠레(Mark Karpelès)는 레저 X 내부 임플란트 사진을 공개하며, 손으로 납땜한 전선을 쓰던 이전 버전에서 "상당히 진화한" 형태라고 평가했다. 그에 따르면 임플란트는 화면 뒤에 숨겨져 있었고, 기기의 화면 출력과 버튼 입력을 포착해 시드 구문을 알아낸 뒤 eSIM을 이용한 LTE 연결로 공격자에게 전송했다. 다만 안테나 케이블이 바깥으로 드러나 있어 이상을 눈치챌 단서가 됐다고 설명했다. 그는 크립토빌리스를 직접 지목하지는 않았으나, 문제의 기기가 레저 권장 유통 경로가 아니라 "잘 알려진 플랫폼의 중국 판매자(말레이시아에서 발송)"로부터 왔다고 밝혔다.
암호화폐 연구개발 스튜디오 티베인 랩스(Tibane Labs)는 카르펠레의 분석을 확인하면서, 레저 X용 임플란트가 두 가지 버전으로 존재한다고 덧붙였다. 연구진이 입수한 두 변종 중 하나는 아마존 재팬에서 '중국 기반 판매자·말레이시아 발송' 조건으로 산 기기였고, 다른 하나는 일본 야후! 옥션에서 구입한 것이었다. 첫 번째 변종은 원래 배터리를 더 작은 배터리로 교체해 임플란트와 레저 X에 함께 전원을 공급할 공간을 확보했다. 배터리와 안테나 아래에는 ST의 STM32G431KBU6(Arm Cortex-M4, 128KB 플래시, UFQFPN-32) 마이크로컨트롤러가 자리했고, 그 옆에는 2×2mm짜리 초소형 eSIM과 차폐된 LTE 모듈이 탑재돼 시드 구문을 외부로 송출했다.
두 번째 변종은 한층 정교했다. 원래 배터리를 그대로 쓰면서 OLED 디스플레이 아래 완충재(폼 패딩)가 들어가던 공간에 회로를 끼워 넣었다. 이 기기에서는 MCU와 eSIM의 부품 표기가 긁혀 지워져 있어 식별을 어렵게 했다. 두 경우 모두 결정적 단서는 안테나 선이었는데, 두 번째 임플란트에서는 상단 가장자리를 따라 지나갔고 첫 번째에서는 배터리와 LTE 모듈 위에 테이프로 고정돼 있었다. 특히 연구진은 이 부품이 손으로 만든 일회성 제작물이 아니라, 전문 PCB 업체에 주문해 패널 단위로 생산한 설계된 플렉스 PCB라는 점을 지적했다. 소규모 장난이 아니라 양산을 염두에 둔 조직적 작업이라는 신호다.
비정품 유통 경로와 신뢰의 문제
이번 사건의 본질은 기기 자체의 결함이 아니라 공급망에 있다. 레저는 정품이라도 비인가 리셀러를 통해 구매하면 위조품이나 변조품을 받을 위험이 커진다며 공식 경로 구매를 강조했고, 인가 리셀러와 유통업체에는 반품된 제품을 되파는 행위를 피할 것을 당부했다. 문제는 레저가 제공하는 정품 확인(Genuine Check) 기능으로도 이번 공격을 걸러내기 어렵다는 점이다. 레저 스스로 밝혔듯, 기기의 보안 요소(Secure Element)가 손상되지 않은 채 임플란트만 추가된 경우에는 이 기능이 변조를 탐지하지 못한다. 공격자가 핵심 보안 칩은 건드리지 않고 그 주변에 별도의 도청 하드웨어만 심었기 때문에, 정품 검증이라는 방어선 자체를 우회한 셈이다.
실무 관점에서 이 사건은 하드웨어 보안의 신뢰 기점이 어디에 있어야 하는지를 다시 묻는다. 콜드 월렛은 개인 키를 오프라인에 두는 것만으로 안전하다는 통념이 있지만, 시드 구문이 화면과 버튼을 거치는 순간 그 입출력 자체가 도청 지점이 될 수 있다. 특히 절반 가격이라는 미끼로 비정품 채널에서 유통된 점은, 가격 프리미엄을 포기하는 대가가 곧 공급망 신뢰의 포기일 수 있음을 보여준다. 현재까지 다른 리셀러가 변조된 지갑을 배송했다는 정황은 없지만, 리셀러 네트워크에 대한 커뮤니티의 신뢰는 이미 흔들렸고 일부는 그 체계 자체의 해체를 요구하고 있다. 암호화폐 자산을 다루는 기업과 개인이라면, 하드웨어 지갑을 제조사 직판 경로로만 조달하고 수령 즉시 설정하지 않은 중고·할인 기기는 신뢰하지 않는 것이 현실적인 최소 방어선이 될 것이다.