Ledger가 위안이 될 만한 소식을 전했습니다. 보안 칩은 뚫리지 않았습니다. 텅 빈 지갑의 주인들에게는 이제 이 소식을 어떻게 기뻐해야 할지 생각하는 일만 남았습니다.

CryptoBilis에서 Ledger 기기를 주문한 구매자들이 2026년 10월 9일 암호화폐를 도난당했습니다. Bitquery가 10월 15일 집계한 바에 따르면 피해 규모는 지갑 324개, 약 1억 200만 달러입니다. 이는 연구진의 추산이며, Ledger가 아직 확인한 수치는 아닙니다.

금고 비밀번호를 그냥 훔쳐봤습니다

10월 13일 Ledger는 피해자 한 명의 기기 안에 몰래 심겨 있던 장치가 어떻게 작동했는지 설명했습니다. 기기 안에는 원래 없던 부품이 들어 있었습니다. 이 부품은 초기 설정 중 화면에 표시되는 지갑 복구용 단어 24개를 읽어 이동통신망으로 공격자에게 보냈습니다. 그동안 핵심 칩과 기기 시스템, 거래 서명에는 아무런 변경도 없었습니다.

이 단어들을 시드 문구라고 합니다. 소유자가 시드 문구 자체에 별도의 암호를 설정하지 않았다면, 이 단어들만으로 다른 기기에서 지갑을 복구할 수 있습니다. 그다음에는 도둑에게 원래 기기가 필요하지 않습니다. 여러분의 Ledger에서 버튼을 누를 필요조차 없습니다.

훌륭한 잠금장치가 달린 금고를 상상해 보세요. 누군가 키패드 옆에 몰래카메라를 설치해 비밀번호를 훔쳐봤습니다. 잠금장치는 모든 시험을 통과했습니다. 그런데 금고 안의 물건들은 어째서인지 그 성과를 높이 평가하지 못한 모양입니다.

검증은 통과했습니다. 깜짝 선물은 안에 들어 있습니다.

Ledger에는 기기의 정품 여부를 확인하는 기능이 있습니다. 하지만 회사 자체 안내문에는 분명히 적혀 있습니다. 원래의 보안 칩이 온전하다면, 이 검증으로는 몰래 심은 감시 장치를 비롯해 기기에 가해진 물리적 변조를 감지하지 못합니다.

즉, “진짜 Ledger다”와 “안에 아무것도 추가되지 않았다”는 서로 다른 말입니다. 엔지니어라면 그 차이를 이해합니다. 하지만 보안을 위해 돈을 내고 검증 통과 표시까지 본 구매자는 그 미묘한 차이 때문에 모아 둔 돈을 전부 잃을 수도 있습니다.

압권은 그다음입니다. 같은 안내문에는 직접 점검할 수 있도록 내부 사진을 실어 놓고, 분해하다가 기기를 망가뜨릴 수 있다는 경고도 붙였습니다. 보안을 덜 신경 쓰려고 지갑을 샀더니, 회로 기판을 공부할 이유가 생겼습니다.

블랙박스 안에는 동거인이 있었습니다

이 사건을 아무 판매자에게나 산 탓으로 돌리기도 어렵습니다. CryptoBilis는 Ledger 공식 판매점 목록에 올라 있었습니다. 정확히 어느 시점에 누가 기기를 변조했는지는 아직 조사 중입니다.

안심해도 된다는 약속은 바로 여기서 금이 갑니다. 구매자에게 제조사와 판매점, 배송 과정, 기기 안에 든 것까지 믿으라고 합니다. 그러고는 검증이 질문의 일부에만 답한다는 사실이 드러납니다. 검증하지 않는 나머지는 갑자기 구매자 개인의 문제가 됩니다.

이 사건에서 공격자는 기기의 프로그램을 바꿀 필요조차 없었습니다. 자기들만의 감시자를 하나 추가했을 뿐입니다. 훔치는 데는 보안 장치 옆의 빈자리면 충분했습니다.

이것이 Ledger Live 앱의 해킹을 확인해 주는 것은 아니며, 모든 Ledger가 감염되었다는 증거도 아닙니다. 회사는 10월 14일 추가 설명에서 독일 매장과 유통업체의 재고를 점검한 결과 변조 흔적을 찾지 못했으며, 온라인에 공개된 의심 기기들은 아직 전달받지 못했다고 밝혔습니다. 하지만 피해 범위를 한정하는 해명이 있다고 해서, 실제로 발견된 감시 장치가 덜 진짜가 되는 것은 아닙니다.

구매자는 이제 어떻게 해야 할까요?

CryptoBilis를 통해 기기를 샀다면 Ledger의 권고는 간단합니다. 아직 쓰지 않은 기기는 초기 설정을 하지 말고, 이미 사용했다면 신뢰할 수 있는 기기에서 새 시드 문구로 만든 새 지갑으로 자금을 옮기라는 것입니다. 새 지갑에서 예전 시드 문구를 그대로 쓰는 것은 의미가 없습니다. 도둑이 가지고 있을지 모르는 복사본이 그 때문에 사라지지는 않습니다. “보안 점검” 사이트에 그 문구를 입력하지 마세요.

기기를 믿을 때에는 정확히 어떤 일을 맡기는지 이해할 필요가 있습니다.

카드는 보관합니다. 암호화는 여러분이 합니다.

Mitilena 카드는 암호화된 데이터를 보관하는 금고입니다. 여러분이 직접 비밀번호를 정하고, 그 비밀번호로 데이터를 암호화한 다음에야 카드에 기록합니다.

일반 NFC 형식의 기록은 NFC Tools 같은 앱으로 읽을 수 있습니다. 카드를 읽는 것만으로 데이터가 복호화되지는 않습니다.