Ledger는 말레이시아 유통업체 CryptoBilis를 통해 판매된 지갑 기기 중 한 대에 무단 하드웨어 임플란트가 포함되어 있었다고 확인했다. 이는 동남아시아에서 활동하는 해당 유통업체를 통해 구매한 기기에서 사용자들이 암호화폐 자산을 잃었다는 신고가 접수된 이후 나온 조치다.
Ledger는 2026년 10월 9일 조사를 시작하고 CryptoBilis에 자사 기기의 판매와 배송을 중단할 것을 요청했다. 다음 날 회사는 최소 한 대의 기기에서 하드웨어 변조가 있었다고 인정했다. 이후 업데이트에서는 검토한 모든 예상치 못한 인출 신고가 CryptoBilis를 통해 판매된 기기와 관련되어 있었다고 밝혔으며, 사례 규모를 “제한적”이라고 설명했다. 회사는 아직 기기가 언제 또는 어디에서 개조됐는지는 밝히지 않았다.
임플란트는 어떻게 작동했나?
연구진의 보고에 따르면 피해 기기는 Ledger X 모델로 추정되며, 케이스 내부에 악성 회로가 숨겨져 있었다. Mark Karpelès와 Tibane Labs의 분석에 따르면 임플란트는 복구 문구를 알아내기 위해 화면 출력과 버튼 입력을 수집한 뒤 eSIM을 사용한 LTE 연결을 통해 공격자에게 전송하도록 설계됐다.
Tibane Labs 연구진은 임플란트 두 가지 버전을 확인했다. 한 샘플에서는 임플란트를 위한 공간을 확보하기 위해 원래 배터리를 더 작은 배터리로 교체했으며, 해당 회로에는 ST STM32G431KBU6 마이크로컨트롤러, LTE 모듈, 약 2×2밀리미터 크기의 eSIM이 포함됐다. 두 번째 버전은 OLED 화면 아래 공간을 활용했으며 원래 배터리로 작동했다. 두 샘플에서는 개조의 물리적 흔적으로 기기 상단을 따라 배치된 안테나 배선이 발견됐다. 또한 한 샘플에서는 정체를 숨기기 위해 일부 부품의 번호가 갈려 있었다.
이 소식이 중요한 이유는?
이번 사건은 내부 보안 부품의 무결성에만 의존하는 방식의 한계를 보여준다. 임플란트는 반드시 Secure Element를 직접 공격할 필요가 없다. 사용자가 보는 내용과 버튼을 통해 입력하는 내용을 감시한 다음, 독립적인 통신 채널을 통해 데이터를 내보낼 수 있기 때문이다. Ledger는 Genuine Check 메커니즘이 기기의 정품 여부를 확인할 수 있지만, 원래 Secure Element가 온전한 상태로 유지되면 하드웨어 추가 장치를 감지하지 못한다고 밝혔다.
실질적으로 Ledger는 CryptoBilis에서 기기를 구매했지만 아직 설정을 시작하지 않은 사용자에게 기기를 켜지 말라고 권고했다. 설정을 완료한 사용자는 새로운 복구 문구를 사용해 자산을 새 서명 기기로 이전하는 방안을 고려해야 한다. 이 권고는 의심되는 기기만을 대상으로 하는 것이 아니라, 복구 문구가 이미 노출됐을 가능성까지 전제로 한다.
아직 확정되지 않은 내용은?
Ledger는 피해 기기의 모델을 공식적으로 공개하지 않았으며, 개조를 실행한 주체나 공급망의 어느 지점에서 개조가 이뤄졌는지도 특정하지 않았다. 연구진이 분석한 샘플은 중국과 연계된 판매자에게서 구매되어 말레이시아에서 배송된 기기를 가리키지만, 이것만으로 특정 판매자의 책임이 입증되는 것은 아니다. 현재 이용 가능한 정보에 따르면 다른 유통업체가 연루됐다는 징후는 없다.
Ledger는 공인 채널을 통해 구매할 것을 권고하고, 유통업체에는 반품된 제품을 다시 재고로 등록하지 말 것을 요청했다. 이번 사건은 소프트웨어 검증 메커니즘과 원래 기기가 정상적으로 보이는 경우에도 공급망의 무결성이 하드웨어 지갑 보안의 핵심 요소로 남아 있음을 보여준다.