Ledger는 피해 고객 한 명의 지갑에서 무단 하드웨어 임플란트가 발견됐다고 확인했다. 조사관들은 동남아시아 리셀러를 통해 판매된 변조된 기기와 관련된 암호화폐 도난 의심 금액이 약 9320만 달러에 달하는 것으로 추정하고 있다. 회사는 자사의 보안 인프라, 시스템 또는 서비스가 침해됐다는 징후는 발견하지 못했다고 밝혔다.
해당 지역에 기반을 둔 공인 리셀러 CryptoBilis는 조사가 끝날 때까지 모든 하드웨어 지갑 재고의 판매를 중단했다.
Tibane Labs가 기기 내부에서 발견한 것
조사는 고객들이 리셀러로부터 Ledger 기기를 구매한 후 암호화폐를 잃었다고 보고하면서 시작됐다. Tibane Labs는 복구 문구를 가로채도록 설계된 세 세대의 Ledger Nano X 임플란트를 문서화했으며, 이는 Joe Grand의 초기 임플란트 분해 분석과 9월에 조사한 두 개의 표본을 결합한 것이다.
임플란트는 지갑의 보안 요소와 디스플레이 사이에 전송되는 전자 신호를 모니터링하는 방식으로 작동한다. 공격자는 이 신호로부터 24단어 복구 문구를 재구성하고 셀룰러 모뎀을 통해 전송할 수 있다. 물리적 절도가 필요 없고 Ledger의 보안 칩도 침해되지 않는다.
Tibane이 조사한 가장 발전된 버전은 화면 아래에 숨겨진 맞춤형 회로 기판을 포함하고 있었으며, LTE 모뎀, 안테나, 식별 표시가 제거된 부품들이 있었다. 연구소에 따르면 원래 배터리를 유지했고 케이스를 열어도 육안 검사를 통과할 수 있었다.
Tibane의 두 표본은 CryptoBilis가 아닌 일본 마켓플레이스를 통해 구매됐다. 연구소는 또한 침해된 기기에 표시된 복구 문구는 노출된 것으로 간주해야 하며, 자금은 신뢰할 수 있는 기기에서 새로 생성한 문구가 있는 지갑으로 옮겨야 한다고 단호하게 경고했다.
Genuine Check가 이를 탐지하지 못하는 이유
Ledger의 Genuine Check는 보안 요소의 진위를 확인한다. 보안 요소가 손상되지 않은 경우 스파이 임플란트와 같은 무단 물리적 개조를 탐지할 수 없다. 이 사건의 핵심은 바로 이 간극이다. 기기는 검사를 통과하면서도 침해될 수 있다.
Ledger는 얼마나 많은 기기가 개조됐는지 밝히지 않았고, 임플란트가 보고된 모든 손실의 원인이라고 확정하지도 않았다. 회사는 영향을 받은 사용자들에게 연락하고 당국과 협력하고 있다고 말했다.
두 가지 추정, 두 가지 방법, 같은 규모
Galaxy Digital의 리서치 책임자 Alex Thorn은 비트코인, 이더리움 관련 네트워크, 트론에서 477개 주소에 걸쳐 약 9100만 달러를 보고했다. Thorn은 도난 의심 금액 중 6450만 달러를 트론으로 귀속시켰으며, 여기에는 약 6430만 USDT가 포함된다. 비트코인은 1770만 달러(약 213 BTC)를 차지했다. 이더리움 및 관련 네트워크는 880만 달러를 기여했다.
Bitquery는 6개 블록체인에 걸쳐 315개 지갑에서 약 9320만 달러를 집계했다. 두 추정치는 서로 다른 주소 세트와 방법을 사용하며, 어느 쪽도 변조된 기기의 수를 세지 않는다.
Bitquery는 공격자들이 10월 9일 조직적인 인출 전에 여러 지갑의 통제권을 확보했음을 시사하는 거래 패턴을 확인했다. 25개의 트론 지갑이 3초 이내에 동일한 토큰 승인에 서명해 약 2900만 달러의 USDT가 순식간에 인출될 수 있었다. 더 큰 도난 전 약 2주에 걸쳐 소액 테스트 거래가 이뤄졌으며, 이는 사용자들이 자금 누락을 보고하기 훨씬 전부터 준비가 진행 중이었음을 시사한다.
Bitquery는 Tether가 도난당한 USDT 중 약 1000만 달러를 동결한 것으로 추정했다. 또한 자금이 Tornado Cash와 Zcash를 거친 후 발행사 Circle이 동결할 수 있는 535만 달러의 USDC도 확인했다.
리셀러 문제
CryptoQuant 분석가 Darkfost는 다른 지역 리셀러들의 공급망 노출 가능성을 조사할 것을 제안하면서도, 이 우려는 추측성이며 확인된 증거로 뒷받침되지 않는다고 인정했다. CryptoBilis는 언제 판매를 재개할지 밝히지 않았다.
현재 구체적인 사실은 좁은 범위에 머문다. 확인된 임플란트 하나, 판매가 중단된 리셀러, 규모에는 동의하지만 주소에는 동의하지 않는 두 개의 독립적인 추정치다. Ledger는 개조된 기기가 어떻게 고객에게 도달했는지 설명하지 않았고, 조사 결론에 대한 일정도 제시되지 않았다.
