한 구매자가 MediaMarkt에서 구매한 두 번째 변조된 Ledger 하드웨어 지갑을 발견했다고 보고하며, 회사에 해당 기기들의 리콜을 요구하고 나섰다. 이 구매자는 문제가 된 기기의 유통업체로 Aqipa를 지목했으며, 해당 기기는 분석을 위해 Ledger로 보내지고 있다고 밝혔다.
이번 보고는 MediaMarkt 소매 재고와 연관된 두 번째 확인된 변조 사례이다. Ledger 지원팀은 자사가 확인한 변조 사례들이 별도의 유통업체인 CryptoBilis와 관련되어 있다고 주장하고 있다. 그러나 구매자의 진술은 대신 Aqipa를 지목하고 있어, 이 불일치는 아직 공개적으로 해결되지 않았다.
구매자가 발견한 것
변조 자체에 대한 세부 사항은 아직 제한적이다. 구매자는 포장이나 기기 내부에서 정확히 무엇이 변경되었는지, 또는 구매 시점이 언제인지를 공개하지 않았다. 분명한 것은 해당 지갑이 유럽의 주요 전자제품 소매업체인 MediaMarkt를 통해 구매되었으며, 구매자가 기기가 변조된 상태로 도착했다고 믿고 있다는 점이다.
구매자는 이제 해당 채널을 통해 판매된 영향을 받은 Ledger 기기들에 대한 리콜을 요구하고 있다. 이는 상당한 요구 사항이다. 리콜이 이루어지려면 MediaMarkt, Ledger, 그리고 유통업체가 어떤 기기들이 영향을 받았는지 식별하는 데 협력해야 하며, 관련 당사자 중 누구도 이러한 절차를 발표하지 않았다.
CryptoBilis 관련 단서
Ledger 지원팀은 확인된 변조 사례들의 배후 유통업체로 CryptoBilis를 지목해 왔다. 이번 새로운 보고에도 이러한 입장은 변하지 않았다. 만약 구매자의 말대로 해당 기기가 Aqipa를 통해 들어왔다면, 문제가 Ledger가 인정한 것보다 더 광범위할 가능성이 제기된다.
MediaMarkt는 두 번째 기기에 대해 공개적으로 언급하지 않았다. Aqipa도 마찬가지다. 지원 채널을 통해 전달된 Ledger의 입장은 여전히 CryptoBilis 연관성에 초점을 맞추고 있다.
하드웨어 지갑 변조는 일반적으로 누군가가 기기가 고객에게 도달하기 전에 가로채는 방식으로 이루어진다. 미리 초기화된 시드 문구로 바꿔치기하거나 포장을 조작하여 구매자가 공격자가 이미 통제하는 지갑을 모르는 채로 설정하도록 만드는 것이다. 이는 펌웨어 취약점 공격이 아닌 공급망 문제이기 때문에 이러한 사례에서 유통업체가 매우 중요한 것이다.
유통업체 문제가 중요한 이유
변조된 기기들이 하나 이상의 유통업체를 통해 소매 체인에 들어왔다면, 문제의 범위는 더 커진다. Ledger의 공개 입장은 확인된 사례들을 CryptoBilis와 연결짓고 있다. Aqipa에 대한 구매자의 주장이 검증된다면, 이는 두 번째 진입 경로가 있거나 체인 어딘가에서 잘못된 귀속이 있었음을 시사할 것이다.
어느 가능성도 확인되지 않았다. Ledger는 Aqipa 연관성을 특별히 조사하고 있는지 여부를 밝히지 않았으며, 리콜 요구에 대해 공개적으로 응답하지 않았다.
MediaMarkt를 통해 Ledger를 구매한 사람이라면 실질적인 조언은 변함이 없다. 자금을 이체하기 전에 기기의 무결성을 확인하고, 포장에 변조 흔적이 있는지 점검하며, 미리 채워진 시드 문구를 신뢰하지 말고 새로운 시드 문구를 생성하라. 마지막 요점이 이러한 사례에서 가장 흔한 실패 유형이다.
두 번째 기기는 분석을 위해 Ledger로 향하고 있다. 해당 조사는 변조가 실제인지, 그리고 사실이라면 정확히 무엇이 변경되었는지를 밝혀낼 것이다. 그 결과는 구매자의 리콜 요구가 탄력을 받을지 여부에도 영향을 미칠 것이다.
Ledger가 조사 결과를 발표할 때까지 유통업체 문제, 즉 CryptoBilis 대 Aqipa 논란은 열린 상태로 남는다. 최근 몇 달 동안 Ledger 기기를 구매한 MediaMarkt 고객들은 Ledger의 기존 자체 검증 지침 외에는 공식적인 안내를 받지 못하고 있다.
