Ledger는 동남아시아 리셀러인 CryptoBilis가 판매한 최소 한 대의 기기에서 무단 하드웨어 이식 칩이 확인되었다고 밝혔습니다. 월요일 회사 성명에 따르면, 문제의 기기는 해당 리셀러에서 발생한 암호화폐 손실과 연관되어 있습니다. Ledger는 확인된 이식 사례가 제한적이며, 내부 시스템은 영향을 받지 않았다고 말했습니다.
CryptoBilis가 실제로 판매한 것
CryptoBilis는 동남아시아에서 리셀러로 활동하며, 해당 지역 고객에게 Ledger 하드웨어 지갑을 공급합니다. 이 사건의 중심에 있는 기기는 단 한 대입니다 — 생산 라인 전체나 공장에서 출하된 배치가 아닙니다. Ledger의 표현은 의도적입니다: "최소 한 대의 기기", "확인된 사례는 제한적". 이는 단 한 대만 있다는 뜻이 아닙니다. 회사가 지금까지 한 대를 확인했으며, 더 있을 가능성을 배제하지 않는다는 의미입니다.
이 기기와 관련된 손실은 암호화폐 손실로, 누군가의 코인이 사라졌다는 뜻입니다. Ledger는 구체적인 금액을 밝히지 않았으며, 현재로서는 피해 고객이 적은 금액을 잃었는지 큰 금액을 잃었는지 명확하지 않습니다. 분명한 것은 이식 칩이 Ledger 자체 제조 과정에서 나온 것이 아니라는 점입니다 — 공장과 구매자의 손 사이 어딘가에서 삽입되었습니다.
리셀러가 약한 고리인 이유
하드웨어 지갑은 이를 전달하는 공급망만큼만 안전합니다. Ledger는 기기를 봉인하여 출하하고, 리셀러는 봉인된 박스를 받아 전달합니다. 재고에 접근할 수 있는 누군가가 박스를 열어 변조된 보드로 교체하고 포장을 다시 봉인하면, 최종 사용자는 자금이 이동하기 전까지 이를 알아챌 뚜렷한 방법이 없습니다.
적어도 개요상으로는 이것이 이번 사건의 시나리오입니다. 제3자 리셀러가 판매한 기기에서의 무단 이식 칩은 Ledger 자체 경계 밖에서의 변조를 시사합니다. 회사는 내부 시스템 — 서버, 펌웨어 파이프라인, Ledger Live 및 기기 인증을 지원하는 인프라 — 은 건드려지지 않았다고 강조하고 있습니다. 따라서 이는 Ledger에 대한 해킹이 아닙니다. 고객에게 도달하기 전에 다른 누군가의 손을 거친 기기의 물리적 손상입니다.
손실, 그리고 Ledger가 말하지 않는 것
기기와 연관된 암호화폐 손실은 확인되었지만 세부 사항은 부족합니다. 금액은 공개되지 않았습니다. 손실이 언제 발생했는지에 대한 일정도 없습니다. 피해 사용자가 보상을 받았는지에 대한 언급도 아직 없습니다. Ledger의 공식 입장은 확인된 사례가 제한적이라는 것인데, 이 표현은 두 가지 역할을 동시에 합니다: 광범위한 사용자 기반을 안심시키고, 조사가 계속되면서 더 많은 사례가 드러날 여지를 남깁니다.
CryptoBilis를 통해 Ledger를 구매한 사람이라면, 실질적인 질문은 자신의 기기가 변조되었는지 여부입니다. Ledger는 배치 리콜, 일련번호 목록, 교체 프로그램을 발표하지 않았습니다. 이것이 없으면 리셀러 채널 구매자들은 자신의 기기를 직접 확인하며 기다릴 수밖에 없습니다.
앞으로의 전망
다음 구체적인 단계는 Ledger가 이식 칩이 어떻게 발견되었는지, 그리고 같은 리셀러를 통해 판매된 다른 기기에 어떤 의미가 있는지에 대해 더 많은 정보를 제공하는 것입니다. 현재 확인된 사례는 제한적입니다. 그 숫자가 늘어날지는 조사 결과에 달려 있으며, CryptoBilis가 판매한 모든 기기를 설명할 수 있는지에도 달려 있습니다.
현재로서 직접적인 조언은 하드웨어 지갑 제조사들이 수년간 반복해온 것과 같습니다: 제조사 또는 신뢰할 수 있는 공인 판매처에서 구매하고, 자금을 보내기 전에 기기를 검증하십시오. 이 지침이 이번 사건을 막지는 못했습니다. 하지만 손에 든 박스가 다른 누군가의 선반에서 온 경우 사용자가 가질 수 있는 유일한 보호입니다.
