9300만 달러 규모 암호화폐 하드웨어 지갑 공급망 공격 이후 Ledger, 판매 및 안티-탬퍼 정책 검토

블룸버그(Bloomberg)의 10월 13일 보도에 따르면, Ledger는 공급망 전반에 걸친 물리적 조작으로 인해 사용자 지갑에서 9300만 달러 상당의 암호화폐가 도난당한 “Cryptobilis 사건” 이후 판매 정책과 기기가 고객에게 도달하는 방식을 검토하고 있습니다. 이 암호화폐 하드웨어 제조업체의 CTO인 Charles Guillemet은 소셜 미디어 게시물을 통해 이번 사건에 따라 기기의 안티-탬퍼(anti-tampering) 보호 기능도 검토하고 있음을 확인했습니다. 그는 조작된 서명기(하드웨어 지갑)를 사용하는 사용자들에게는 추가 검사를 위해 기기를 보내는 배송 지침을 받으려면 Ledger 지원팀에 연락할 것을 안내했습니다. Guillemet은 또한 자신의 서명기를 물리적으로 열어 조작 여부를 확인하고 싶은 사용자들에게 안전하게 수행하는 방법에 대한 회사의 가이드라인을 검토하도록 조언했습니다.

별도의 게시물에서, Ledger의 CEO인 Pascal Gauthier는 “물리적인 공급망 조작은 업계 전체의 위험 요소입니다. 저희는 직접 판매와 리셀러에게 적용되는 통제 방안들을 검토하고 있으며, 가능한 내용을 공유할 것”이라며 회사가 자체적으로 관리하는 과정(chain-of-custody)과 변조 감지 관행을 검토할 계획임을 확인했습니다. 이 회사는 이러한 관행을 평가하기 위해 연구원 및 다른 공급업체들의 협력을 요청하고 있습니다.

검토를 촉발한 사건은 10월 9일 금요일에 처음 감지되었는데, 이 날 비트코인(Bitcoin), 이더리움(Ethereum), 트론(Tron) 네트워크 전반에 걸쳐 수백 개의 평소 안전하다고 여겨졌던 지갑들이 동시에 돈이 빠져나가는 현상이 발생하며 소셜 미디어와 블록체인 보안 네트워크 전반에 대규모 경보가 울렸습니다. 여러 피해자들이 온라인으로 접속하여 손실을 보고하고 무슨 일이 일어나고 있는지 파악하려고 노력했습니다. 초기 조사 결과, 영향을 받은 거의 모든 지갑들이 말레이시아 및 동남아시아를 담당하는 공인 제3자 리셀러인 CryptoBilis로부터 구매한 것으로 밝혀졌습니다. Ledger는 CryptoBilis에 즉시 모든 판매와 배송을 중단하도록 명령했습니다.

추가 조사 끝에, Ledger는 10월 10일 공식적으로 영향을 받은 사용자 기기 내부에서 셀룰러/LTE 모듈이 장착된 물리적이고 비인가된 하드웨어 임플란트를 발견했다고 발표했습니다. 공격자들은 공급망의 어느 시점에서 신제품에 수동으로 이 칩들을 설치했던 것으로 드러났습니다. 새로운 사용자가 초기 설정 중 지갑 화면에서 24단어 복구 시드 구문(recovery seed phrase)을 생성하거나 확인하는 동안, 악성 칩은 OLED 출력을 기록하거나 해당 텍스트를 운반하는 원시 하드웨어 데이터 라인을 읽어냅니다.

이 통합된 셀룰러 칩은 암호화되지 않은 복구 구문을 LTE 네트워크를 통해 공격자들의 외부 명령 서버로 조용히 전송하여, 사설 키(private key)를 클론하고 연결된 암호화폐 자금을 모두 빠져나갈 수 있는 완전한 원격 접근 권한을 부여했습니다. 이 하드웨어 변조는 Ledger의 표준 자동화된 “진품 확인 (Genuine Check)” 소프트웨어 프로토콜을 완전히 우회했는데, 이는 Ledger의 표준 펌웨어를 실행하는 마이크로칩 외부 전체에 위치했기 때문입니다.

Ledger는 자체 인프라(internal infrastructure), 펌웨어 코드(firmware code), 그리고 Ledger 공식 스토어(Official Store)를 통한 소비자 직접 판매 채널이 전혀 손상되지 않았음을 강조했습니다. 회사는 제3자 리셀러(third-party resellers)의 지갑을 사용하는 사용자들에게 추가 조사를 진행하는 동안, 새로 생성되었고 손상되지 않은 24단어 복구 구문(recovery phrase)으로 보호되는 별도의 지갑으로 자금을 이체할 것을 권고했습니다. 또한 회사는 공급업체 검증 및 공급망 요구 사항을 재편성하며, 유통업체들에게 더 엄격한 추적 관리를 시행하고, 승인된 채널을 통해서만 출처를 확보하며, 반품된 장치의 재입고 또는 재판매를 엄격히 금지하도록 지시했습니다.