콜드 암호화폐 지갑 전문 제조사인 "트레조"(Trezor)는 동남아시아 지역의 공인 유통업체인 크립토빌리스(CryptoBilis)를 통해 판매된 트레조 세이프 5 지갑 내부에 의심스러운 악성 하드웨어 부품이 포함되어 있다는 제보를 받았다고 발표했습니다.
회사는 아직 정확한 조사를 위해 해당 기기를 전달받지 못해 악성 부품의 존재를 최종적으로 확정하지는 못했으나, 사용자들의 자산을 보호하기 위한 즉각적인 예방 조치로서 잠재적 사용자들에게 개인키와 디지털 자산을 안전하고 검증된 지갑으로 이전할 것을 촉구하는 공식 경고를 신속하게 발행했습니다.
해킹 및 공급망 상세 내용
회사 데이터에 따르면 이번 사건은 2026년 8월 인도네시아의 한 사용자가 토코피디아(Tokopedia) 플랫폼을 통해 해당 유통업체로부터 세이프 5 지갑을 구입하면서 제기된 신고에서 비롯되었습니다. 사용자가 기기를 개봉했을 때, 지갑의 메인 기판과 화면 사이에 허가되지 않은 추가 회로 기판이 놓여 있는 것이 발견되었으며 이 기판에는 셀룰러 통신 모듈과 무선 식별 장치가 포함되어 있었습니다.
확인되지 않은 초기 정보에 따르면 이 추가 부품은 지갑 화면에 표시되는 복구 문구를 포함한 데이터를 읽어낸 후, 기기에 전원이 공급되거나 사용되는 즉시 모바일 네트워크를 통해 전송할 수 있는 능력을 갖추고 있습니다. 동일한 유통업체인 크립토빌리스는 이달 초 ledger(렛저) 지갑을 겨냥한 유사한 사건에도 연루된 바 있으며, 두 기기에 이식된 부품은 형태와 기능 면에서 유사한 것으로 나타났습니다.
즉각적인 조치 및 유통망 구조조정
렛저 사건 직후이자 자사 제품의 피해에 대한 명확한 징후를 받기 전인 2026년 10월 9일, 트레조는 크립토빌리스를 통한 자사 기기 판매를 즉시 중단했습니다. 회사는 이후 더 높은 수준의 공급망 보안을 보장하기 위해 전 세계 유통업체 및 수입업체 네트워크를 재조정하고 통제를 강화할 계획이라고 밝혔습니다.
트레조는 현재까지 이번 공급망 공격으로 인해 자금이 도난당했다는 정보는 없다고 확인했으며, 실제 기기가 도착하여 조사가 완료되는 대로 조사 결과를 공개하겠다고 약속했습니다. 반면, 렛저 기기의 경우 사용자의 금전적 손실 신고가 급증했으며, 싱가포르 경찰이 해당 공격으로 인한 손실에 약 350만 달러를 추가하는 성명을 발표하기에 이르렀습니다.
피해 사용자 권고사항
트레조는 2026년 3월 이후 크립토빌리스를 통해 기기를 구매한 사용자들에게 해당 기기를 절대 설정하거나 사용하지 말라고 권고했습니다. 이미 기기를 사용한 사용자들의 경우에는 완전히 새로운 복구 문구가 포함된 새로 생성된 지갑으로 자금을 신속하게 이전할 것을 조언했습니다.
또한 회사는 유효한 구매 증명서를 소지한 구매자가 교체 기기나 새 기기 할인권을 받기 위해 자사에 연락할 수 있다고 밝혔으며, 기기의 무게 측정은 물리적 변조 여부를 확인하는 신뢰할 수 있거나 정확한 방법이 아니라고 강조했습니다.