경찰, 싱가포르 매장에서 판매된 Ledger 지갑에 악성 하드웨어 포함

싱가포르 경찰은 이 도시국가에서 소매점에서 구매한 일부 Ledger 암호화폐 지갑에 악성 하드웨어 부품이 발견됐다고 밝혔습니다.

9월 10일 이후 최소 두 건의 사례가 보고되었으며, 이로 인한 손실액은 약 350만 싱가포르 달러(S$), 즉 약 270만 미국 달러입니다.

싱가포르 경찰청(SP)은 해당 부품들이 복구 문구와 키를 캡처할 수 있다고 설명했습니다.

싱가포르 경찰청(SPF)은 수요일 성명서에서 이 장치들을 지적하며, 초기 조사 결과 일부 부품이 복구 문구 또는 개인 키를 탈취하는 데 사용될 수 있는 것으로 나타났다고 밝혔습니다.

그 후 무단 접근자들이 소유자의 동의 없이 몰래 지갑을 열고 자산을 이동시킬 수 있습니다. 다만 이 성명서는 특정 판매점을 명시하지 않았습니다.

경찰은 영향을 받은 사례들을 조사 중인 Ledger사와 연락 중이며, Ledger사의 자체 조사도 계속 진행되고 있습니다.

경찰은 사용자가 의심스러운 장치를 사용하지 않고 복구 문구를 입력하거나 거래하지 않도록 경고했습니다.

해당 기관은 지갑 제공업체, 거래소 또는 경찰을 사칭하는 사람을 포함하여 누구에게도 키나 시드 구문을 건네는 것을 경고했습니다.

보고서는 10월 9 CryptoBilis 경보보다 약 한 달 앞선 시점입니다.

첫 번째 싱가포르 보고서는 10월 9일 더 광범위한 사건이 공개되기 약 한 달 전에 접수되었습니다. Ledger는 그날 인도네시아, 말레이시아 및 필리핀의 공인 리셀러인 CryptoBilis로부터의 판매와 출고를 중단해 줄 것을 요청했습니다.

당시 Cryptopolitan은 해당 매장에서 판매된 지갑에서 비트코인, 이더리움, 트론 등 8,600만 달러 이상이 도난당한 것으로 추정된다고 보도했습니다. Ledger는 이 금액을 확인하지 않았습니다.

Ledger는 10월 10일 고객 중 한 명의 장치에 무단 하드웨어 임플란트가 발견되었다고 밝혔습니다. Nano X 케이스 내부에 숨겨진 이 칩은 설정 중 화면에서 24단어 복구 구문을 읽어들여 내장된 SIM을 통해 LTE로 전송했습니다.

Ledger의 Donjon 보안 팀은 이 칩이 보안 요소(Secure Element), 운영 체제 및 서명 프로세스에는 영향을 미치지 않았다고 말했습니다. 이것이 회사의 '정품 확인(Genuine Check)' 인증 테스트가 발동되지 않은 이유입니다.

그 후 며칠 동안 두 건의 싱가포르 관련 주장이 드러났습니다. 전 Mt. Gox 최고경영자 마크 카펠레스는 싱가포르 공항에서 스파이 임플란트가 장착된 Ledger Flex를 구매했다고 밝혔습니다.

한 사용자는 현지 IT 소매업체인 챌린저에서 구매한 장치가 변조되었으며, 레저가 나중에 교체품을 보냈다고 밝혔습니다. 레저는 10월 13일 인도네시아, 싱가포르, 태국, 필리핀, 베트남, 말레이시아, 홍콩의 소매업체들에게 제품 판매 중단을 요청했습니다.

10월 28일 게시글에서 Ledger는 모든 확인된 손실이 제한된 수의 리셀러를 통해 판매된 기기에서 발생했다고 밝혔습니다. 동남아시아 외부에서 구매한 기기와 연결된 자금 유출은 확인되지 않았으며, 인프라, 시스템 또는 직접 판매 채널이 침해되었음을 시사하는 징후는 없다고 판단했습니다.

“온라인에 유포된 수치는 제3자로부터 제공된 것이며, Ledger는 이를 완전히 검증하지 않았습니다.”라고 Ledger는 10월 22일 밝혔습니다.

Ledger의 더 장기적인 해결책은 10월 15일 파리에서 열린 Op3n 행사에서 공개된 $849짜리 기기 Atom입니다. Atom은 최소한 2027년 여름까지 출하되지 않으며, 이미 유통 중인 Nano, Flex, Stax 모델에는 변조 방지 보호 기능이 사후 적용되지 않습니다.