하드웨어 지갑 제조업체 Trezor는 경쟁사 Ledger가 제조한 기기에 악성 이식물이 설치됐다는 보고에 따라 “과도한 주의에서 비롯된 예방 조치”로 리셀러 수를 줄이겠다고 발표했다.

화요일 X 게시물에서 Trezor는 복구 문구가 노출된 악성 이식물을 Ledger 하드웨어 지갑 사용자들이 발견했다는 보도 이후에도 자사 기기가 "손상되었다는 증거는 단 하나도 없다"고 말했다. 

그러나 Trezor는 “최근 공급망 사고”를 이유로 리셀러 수를 줄이겠다고 밝혔다. 최고상무책임자 대니 샌더스는 일부 리셀러들에게 1월 1일 회사의 공식 인증 업체 목록에서 제외되며 화요일부터 Trezor 기기 배송을 중단하게 된다고 덧붙였다. 

출처: Trezor CCO 대니 샌더스

Trezor의 대응은 동남아시아의 한 리셀러가 구매한 자사 기기 중 최소 한 대에 무단 하드웨어 이식물이 들어 있었다고 Ledger가 확인한 지 며칠 후에 나왔다. 이로 인해 사용자들이 수백만 달러의 손실을 입을 가능성이 있다. CryptoBilis가 판매한 해당 지갑은 복구 문구를 포착해 이동통신망을 통해 전송했다.

Trezor 대변인은 Cointelegraph에 “당사의 설정 점검은 위조 기기와 변경된 펌웨어를 적발하도록 설계됐다”고 말했다. 이어 “CryptoBilis에서 구매한 기기에서 발견된 이식물은 다르게 작동한다. 이는 기기의 펌웨어를 변경하지 않고 화면의 정보를 읽은 뒤 공격자에게 전송하는, 기기를 변조하는 독특한 방식이다. 지금까지 현실에서 Trezor 기기를 대상으로 한 이 특정 유형의 공격은 발견되지 않았다”고 밝혔다. 

관련 기사: Ledger, 동남아시아 리셀러와 연관된 자금 손실 조사하며 사용자에게 경고

조사 과정에서 공식 인증 Trezor 리셀러인 CryptoBilis는 모든 하드웨어 지갑 판매를 중단했다. 유럽 전자제품 소매업체 MediaMarkt의 모회사도 “예방 조치로” 오프라인 매장과 온라인 플랫폼에서 모든 Ledger 제품을 철수했다고 발표했다.

사용자 자금은 얼마나 손실됐나?

블록체인 추적 전문가들은 하드웨어 지갑 사용자의 손실 규모를 여전히 조사하고 있지만, 두 사람이 수행한 연구는 그 규모가 7,200만 달러에서 8,600만 달러 사이라고 시사했다. Ledger는 화요일 침해로 인해 “영향을 받은 사용자의 총수나 손실된 총액을 확인하지 못했다”고 보고했다.

Trezor 대변인은 사용자들에게 “봉인이 온전한지 확인하면서” 제품을 회사에서 직접 구매하고, “서로 다른 제조업체의 기기를 사용하는 다중 서명 지갑을 고려하라”고 권고했다. 이를 통해 손상된 기기 하나만으로는 자금을 이동할 수 없게 된다.

매거진: Coldcard 공격은 이제 모든 하드웨어 지갑이 안전하지 않다는 뜻인가?