자기 키를 스스로 밖에 알려준 오프라인 암호화폐 지갑

2026년 10월 9일, 비트코인 주소 세 곳에서 약 500만 달러가 한꺼번에 빠져나갔다. 이 돈은 Ledger 하드웨어 지갑에 들어 있었다. 암호화폐 키가 인터넷에 닿지 않게 하려고 존재하는 기기다. 돈은 누군가 케이스 안에 숨겨 둔 SIM 카드를 통해 나간 것으로 보인다.

가장 이상한 점은 액수가 아니다. 돈의 주인이 사기꾼이었다는 점이다. 블록체인 분석 업체 Chainalysis는 그를 도난 사건의 최대 피해자 중 한 명 으로 꼽고, 그의 비트코인 60개가 어디서 왔는지 추적했다. 그는 사람들에게 돈을 주고 가짜 후기를 쓰게 한 뒤, 번 돈을 지급하기 전에 수수료를 요구했다. 9월 22일 그는 수익금을 Ledger 주소 세 곳으로 옮겼다. 10월 9일 다른 누군가가 그 돈을 가져갔다.

Chainalysis는 이 사기꾼이 기기를 어디서 샀는지 밝히지 않았다. 그러나 같은 날 Ledger는 동남아시아 구매자들이 신고한 손실에 대해 조사에 착수했다 . 10월 10일 회사는 피해자 한 명의 지갑에서 외부 임플란트가 나왔다고 확인했고, 13일에는 발견한 것을 정확히 설명했다. 추가 마이크로컨트롤러와 eSIM이 달린 셀룰러 모뎀, 즉 기판에 바로 납땜한 SIM 카드였다. 오프라인으로 쓰라고 만든 기기가 몰래 온라인에 접속해 자기 키를 내보내고 있었던 것이다.

화면 속 스물네 단어

하드웨어 지갑은 작은 화면과 버튼 두어 개가 달린 USB 메모리처럼 생겼다. 안에는 비밀 키를 저장하고 송금에 직접 서명하는 보안 칩이 있다. 노트북이나 휴대폰은 준비된 거래를 넘기고 서명된 결과만 돌려받는다. 키는 칩 밖으로 나가지 않으므로 노트북에 악성코드가 있어도 키에는 손이 닿지 않는다.

이 방식에는 없어서는 안 될 비상구가 있다. 지갑은 잃어버리거나 부서질 수 있다. 그 경우를 위해 기기는 처음 설정할 때 화면에 24개 단어를 보여 주고, 주인은 그것을 종이에 옮겨 적는다.

지갑의 마스터 비밀이 평문으로 드러나는 순간은 드물다. 대개는 처음 설정할 때 단어가 화면에 나타나는 순간이고, 그보다 드물게는 복구하면서 단어를 다시 입력하는 순간이다. 이번 공격은 그중 첫 번째 순간을 노린다.

지갑 속의 휴대폰

10월 13일 Ledger 보안팀 Ledger Donjon은 임플란트가 작동하는 방식을 설명했다 . 케이스 안의 마이크로컨트롤러가 디스플레이에 나타나는 내용을 지켜보다가 시드 단어를 해독해, 휴대폰과 똑같은 일반 모바일 인터넷인 LTE로 내보낸다. 보안 칩과 펌웨어는 건드리지 않고, 거래나 서명도 바꾸지 않는다. 지갑은 아무것도 눈치채지 못한다. 키는 충실하게 지키고 있지만, 그 키를 되살릴 수 있는 24개 단어는 이미 남의 손에 들어가 있다.

그래서 공식 정품 확인은 여기서 쓸모가 없다. Ledger에 따르면 Genuine Check 기능은 원래의 보안 칩이 그대로 있는 한 추가된 부품을 감지하지 못한다 . 이 기능이 확인하는 것은 칩이지 그 옆의 부품이 아니다.

아마추어의 솜씨가 아니었다. 첫 번째 유형에서 Tibane Labs 연구진은 STM32 마이크로컨트롤러, 2×2밀리미터 크기의 eSIM, 차폐된 무선 모듈을 찾아냈다. 공간을 만들려고 원래 배터리를 더 작은 것으로 바꿨는데, 이 배터리가 지갑과 “스파이"를 함께 구동했다. 두 번째 유형에서는 칩 표식을 긁어냈고, 기판은 보통 폼 패드가 있는 디스플레이 아래에 끼워져 있었다. 부엌 식탁에서 손으로 납땜한 물건이 아니라, 공장식으로 대량 제작한 유연 기판이었다.

제대로 된 간판을 단 가게

Ledger는 확인된 모든 손실을 말레이시아 소매업체 CryptoBilis 한 곳과 연결 짓는다. 길거리 벼룩시장의 아무개 리셀러가 아니었다. 10월 9일 기준으로 이 업체는 인도네시아, 말레이시아, 필리핀의 Ledger 공식 리셀러로 등록되어 있었다. 누가 어디서 상자를 열었는지, 공장에서 오는 길이었는지 창고에서였는지는 아직 조사로 밝혀지지 않았다.

하지만 이야기는 아시아에서 끝나지 않았다. 독일에서는 일반 고객이 대형 가전 유통업체 MediaMarkt에서 지갑을 샀다가 안에서 “스파이"를 발견했다. 돈을 잃지는 않았고, 이 유통업체는 매장과 웹사이트에서 Ledger를 내렸다. 전 Mt. Gox 거래소 대표 마크 카펠레스는 싱가포르 공항 매장에서 산 Ledger Flex에서 임플란트를 찾았다고 썼다. 다만 Ledger는 이 기기와 CryptoBilis의 연관성을 확인해 주지 않았다. Ledger 자신도 동남아시아 여섯 나라와 홍콩의 판매업체에 점검이 끝날 때까지 지갑을 진열대에서 내려 달라고 요청했다.

전체 도난 규모는 아무도 모른다. tanuki42와 Specter라는 이름으로 활동하는 연구자들의 집계로는 7,200만 달러에서 8,600만 달러 이상이 의심스러운 주소로 흘러갔다. Ledger는 이 수치가 제3자의 것이며 자사가 검증하지 않았다고 분명히 말한다. 스테이블코인으로 알려진 디지털 달러를 발행하는 Tether는 남의 주소에 있는 자사 코인을 동결할 수 있다. Tether는 이번 도난과 연결된 1,000만 달러어치를 동결했다 . 지금까지 중간에 막아 낸 금액으로 이름이 거론된 것은 이것뿐이다.

바꿀 수 없는 키

Ledger에서는 정품 확인이 추가된 회로 기판을 놓쳤다. 또 다른 하드웨어 지갑 제조사 Keystone에서는 도둑들이 그런 확인의 바탕이 되는 키 자체를 훔쳤다. 10월 20일 공격자는 서드파티 데이터 모니터링 도구의 결함을 통해 회사 웹사이트에 침입했다. Keystone은 2024년부터 2026년까지 구매자 약 2만 6천 명의 데이터, 즉 이름, 연락처, 배송 주소, 주문 내역이 노출되었다고 밝혔다 . 회사는 시드 문구와 지갑 키는 영향을 받지 않았다고 한다.

암호화폐 보관 기기를 산 사람들의 집 주소 목록은 그 자체로 위험하다. 프랑스에서는 강도들이 이미 그런 사람들의 집에 들이닥치고 있고 , 바로 이런 유출 데이터베이스에서 표적 정보를 얻는다. 일부 기록은 애초에 존재해서는 안 되는 것이었다. Keystone의 자체 정책에 따르면 180일 뒤에 삭제되어야 했지만 자동 삭제 도구가 고장 났고, 아무도 알아채지 못했다. 회사는 이렇게 썼다. “우리는 고객 데이터를 제때 삭제하겠다는 약속을 지키지 못했고, 이 잘못에 대한 책임을 집니다.”

두 번째 손실이 더 심각하다. 공격자는 모든 기기가 온라인 확인 때 정품임을 증명하도록 공장에서 심어 두는 키도 가져갔다. 이미 생산된 지갑에서는 이 키를 바꿀 수 없다. 즉 이 키를 단 위조품은 위조품을 잡아내려는 바로 그 검사를 통과하게 된다.

Keystone은 팔리지 않은 기기 18,835대를 폐기하기로 했고, 출하를 멈추고 웹 스토어를 예약 주문 방식으로 바꿨다. 회사는 10월 20일 이전에 배송된 지갑은 인증을 통과하면 써도 된다고 한다. 그 이후에 지갑을 받은 사람은 먼저 추가 점검을 받아야 한다. Keystone은 기기를 반품하거나 자금을 옮기라는 메시지를 절대 보내지 않는다고도 경고한다. 그런 메시지는 사기꾼이 보낸 것이다.

믿어야 하는 사슬

제조사들의 대응은 제각각이다. Trezor 는 자사 기기에서 변조된 것을 찾지 못했지만, 2027년 1월 1일부터 리셀러 네트워크를 줄여 일부 매장은 판매 자격을 잃게 된다. OneKey 는 CryptoBilis를 파트너에서 뺐고, 2026년 3월 1일부터 10월 13일 사이 그곳에서 산 자사 지갑을 무상으로 교환해 준다.

Ledger는 CryptoBilis 기기를 아예 설정하지 말라고 권한다. 이미 가진 사람은 새 시드 문구를 쓰는 새 지갑으로 자금을 옮기고, 의심스러운 기기에는 예전 단어를 절대 입력하지 말아야 한다. Ledger는 자사 서버와 직접 판매는 침해되지 않았다고 말하며, 지금까지는 이를 반박하는 증거가 없다. 그래서 가장 실용적인 결론은 이렇다. 가장 안전한 길은 제조사에서 직접 구매하는 것이고, 출처가 불분명한 지갑은 절대 설정하지 않는 것이다.

아직 모르는 것이 많다. 피해자 수는 공개되지 않았고, 기판을 납땜한 쪽도 잡히지 않았다. 변조된 기기가 한 판매업체 밖으로 얼마나 퍼졌는지도 분명하지 않다.

바이낸스 공동 창업자 자오창펑은 첫 보도가 나온 날 자기 보관에는 추가적인 책임이 따른다고 썼다 . 하지만 CryptoBilis 고객들은 공식 판매처에서 지갑을 샀고, 아무리 조심했어도 화면 아래에 숨은 기판을 알아볼 방법은 없었다.

하드웨어 지갑은 주인에게 더 이상 거래소나 은행을 믿을 필요가 없다고 약속했다. 10월은 신뢰가 사라진 것이 아니라 자리를 옮겼을 뿐임을 보여 주었다. 이제는 공장, 창고, 가게, 그리고 내 손에 들어오기 전에 상자를 쥐었던 택배 기사까지 믿어야 한다.