싱가포르 경찰은 현지 소매점에서 판매된 변조된 Ledger 하드웨어 지갑이 약 350만 싱가포르달러(약 270만 달러) 상당의 가상자산 탈취에 사용되었음을 확인했다. 10월 28일 발표된 경찰 권고문은 9월 10일로 거슬러 올라가는 최소 2건의 보고된 사례를 인용하며, 이는 더 넓은 범위의 동남아시아 사건이 공개되기 약 한 달 전이다. 예비 포렌식 분석에 따르면, 침해된 기기에는 사용자의 복구 구문이나 개인 키를 포착할 수 있는 악성 부품이 포함되어 있어 공격자가 소유자의 지식을 모르게 자금을 이동시킬 수 있었다.

조사 타임라인 및 범위

경찰 보고서는 첫 번째 현지 사례가 식별된 9월 10일부터 10월 말까지의 조사 기간을 명시한다. Ledger는 10월 9일 인도네시아, 말레이시아, 필리핀 등 여러 시장에서 운영되는 공식 리셀러인 CryptoBilis를 통해 판매된 기기와 관련된 지갑 자금 유출을 감지했다고 공개했다. 싱가포르 권고문은 현지 사례와 CryptoBilis 관련 자금 유출 간의 직접적인 연관성을 확인하지는 않았으나, 두 사건 모두 동일한 브랜드의 하드웨어 지갑과 유사한 임플란트(악성 장치) 행동을 포함하고 있다. Ledger는 10월 13일 CryptoBilis에서 구매한 기기에 복구 구문을 설정 중에 복호화하여 LTE를 통해 전송하는 추가 부품이 포함되어 있음을 확인했다. 회사는 조사가 계속되는 동안 싱가포르 및 기타 6개 아시아 시장의 소매업체에 판매 중단을 요청했다.

피해 사용자를 위한 경찰 지침

싱가포르 경찰(SPF)은 Ledger 기기가 변조되었을 것으로 의심되는 경우 즉시 복구 구문 입력이나 거래 시작을 중단할 것을 촉구했다. 사용자는 공식 지원 채널을 통해 Ledger에 연락하고, 깨끗한 기기에서 새로운 복구 구문으로 생성된 새 지갑으로 남은 자산을 이동하는 것을 고려해야 한다. 권고문은 지갑 제조사, 거래소 또는 법 집행 기관을 사칭하는 개인을 포함한 누구에게도 시드 구문을 공유하지 말라고 경고한다. SPF는 제보 및 추가 정보를 위한 핫라인(1800-255-0000)을 제공했다.

업계 반응 및 광범위한 함의

Ledger는 이번 사건을 '지역적 유통 공격'으로 설명하며, 이는 시스템적인 공급망 침해로 보이지 않는다고 강조했다. 회사는 당국과 협력해 왔으며, 지원에 연락한 후 교체 단위를 받은 사용자들의 보고에 따르면 피해 고객에게 침해된 기기를 교체해 주었다. 경쟁 하드웨어 지갑 제조사 Trezor는 최근의 공급망 사건을 인용하며 보안 우려가 높아진 점을 들어 10월 13일 공식 리셀러 수를 줄일 것이라고 발표했다. Zero Knowledge Group의 보안 연구원 Austin Campbell은 이번 사건을 인용해 셀프 커스터디 솔루션은 더 단순하고 공격 표면이 적은 설계를 선호해야 한다고 주장했다.

향후 주목할 점

당국은 아직 악성 부품의 출처를 식별하지 못했으며, 조사는 계속되고 있다. 모니터링해야 할 주요 동향에는 다음이 포함된다: (1) 블록체인 분석 회사 Bitquery에 따르면 335개 지갑에 걸쳐 1억 달러 이상으로 증가한 더 큰 CryptoBilis 관련 손실 추정치와의 공식적인 연관성; (2) Ledger의 임플란트 범위 및 추가적인 시정 조치에 대한 추가 성명; (3) 하드웨어 지갑 공급망 감독을 강화하기 위한 싱가포르 및 기타 동남아시아 관할권에서의 잠재적인 규제 대응.

출처