SecurityHeroblog
보안 상식9조회

반값 코인 지갑, 복구 단어 밑에 먹지가 깔려 있었다

정가의 절반 가까운 값에 팔린 렛저 하드웨어 지갑 안에서 제조사가 만들지 않은 칩이 나왔다고 보도됐습니다. 연구자들 분석으로는 이 칩이 처음 설정할 때 뜨는 복구 단어 24개를 밖으로 보냈습니다. 기기를 어디서 샀는지가 왜 곧 보안인지, 지금 무엇을 하면 되는지 정리했습니다.

손으로 쓰는 택배 송장을 떠올려 보세요. 맨 윗장에 주소를 꾹꾹 눌러 씁니다. 그러면 아래 장에도 똑같은 글씨가 찍혀 나옵니다. 사이에 먹지가 깔려 있어서 그렇습니다. 먹지는 위에서 누른 자국을 아래 종이에 그대로 옮기는 얇은 복사지입니다.

송장이라면 편리한 일입니다. 그런데 비밀번호를 적어 두는 내 공책 밑에 누가 먹지를 몰래 깔아 뒀다면 이야기가 달라집니다. 나는 평소처럼 적습니다. 그런데 똑같은 글씨가 아래 장에 한 벌 더 생깁니다. 그 아래 장은 내 손에 남지 않고 다른 사람에게 갑니다.

이번 주 코인 지갑 뉴스가 바로 이런 이야기입니다.

먼저, 어떤 장면인가

용어 두 개부터 짚겠습니다.

하드웨어 지갑은 코인을 꺼낼 때 필요한 열쇠를 인터넷과 떨어진 작은 기기에 따로 넣어 두는 물건입니다. 이번에 이름이 나온 기기는 렛저(Ledger)라는 회사의 제품입니다.

복구 단어는 이 기기를 처음 켤 때 화면에 하나씩 뜨는 영어 단어 24개입니다. 기기를 잃어버려도 이 단어만 있으면 지갑을 되살릴 수 있습니다. 거꾸로 보면 이 단어만 있으면 기기 없이도 지갑을 통째로 옮길 수 있다는 뜻입니다. 그래서 다들 종이에 적어서 서랍 깊숙이 넣어 둡니다.

사실 이번 사건에서 피해자가 겪은 장면은 이렇습니다. 정가의 절반 가까운 값에 하드웨어 지갑을 샀습니다. 처음 켜고 화면에 뜨는 단어 24개를 종이에 받아 적었습니다. 버튼을 눌러 확인도 했습니다. 며칠 뒤 지갑 앱을 열어 보니 잔고가 0이었습니다.

사실 렛저는 10월 10일 피해 사용자 기기 최소 1대에서 허가받지 않은 칩을 찾았다고 밝힌 것으로 보도됐습니다. 렛저가 만들지 않은 부품이 기기 안에 들어 있었다는 뜻입니다. 10월 11일에는 확인된 피해 사례가 모두 CryptoBilis라는 동남아 판매업체가 판 기기였다고 밝혔다고 전해졌습니다.

사실 여기서 하나 짚어야 할 것이 있습니다. CryptoBilis는 렛저가 인도네시아·말레이시아·필리핀의 공식 리셀러로 올려 둔 업체였다고 보도됐습니다. 리셀러는 제조사 물건을 받아서 대신 파는 가게입니다.

추정 그러니 “수상한 비공식 가게에서 샀다가 당했다”로 정리하면 틀립니다. 명단에 있는 가게에서 판 기기에서도 일이 벌어졌습니다. 이 점이 이번 사건을 가볍게 넘기기 어려운 이유입니다.

먹지는 어떻게 깔렸나

사실 연구자들 분석을 인용한 보도에 따르면, 덧붙은 칩은 기기의 화면 출력과 버튼 입력을 읽어 복구 단어를 알아냈습니다. 그다음 eSIM과 LTE 통신으로 그 단어를 밖에 보냈습니다.

낯선 말 두 개를 풀겠습니다. eSIM은 휴대폰에 꽂는 유심을 칩 안에 아예 넣어 둔 것입니다. LTE는 휴대폰이 쓰는 이동통신망입니다. 둘이 합쳐지면 와이파이도, 컴퓨터 연결도 없이 칩 혼자 바깥과 연락할 수 있습니다.

추정 먹지에 빗대면 이렇습니다. 보통 먹지는 아래 장을 누군가 직접 와서 가져가야 합니다. 이번 먹지는 아래 장이 스스로 우체통까지 걸어간 셈입니다. 내가 공책을 덮고 서랍에 넣어도 이미 늦었습니다.

사실 연구자들은 칩이 들어간 방식을 두 가지로 확인했다고 보도됐습니다.

  • 원래 배터리를 더 작은 것으로 바꾸고, 남은 자리에 칩을 넣은 형태
  • 원래 배터리는 그대로 두고, 화면 아래 완충재 자리에 칩을 넣은 형태

완충재는 부품끼리 부딪히지 않게 받쳐 주는 푹신한 재료입니다. 겉에서 보면 둘 다 원래 기기와 다를 게 없습니다.

사실 더 곤란한 점이 있습니다. 렛저에는 기기가 진짜인지 확인하는 정품 확인 기능이 있습니다. 그런데 렛저 지원 문서에 따르면, 원래 보안칩이 그대로 있으면 이 기능은 덧붙인 칩을 잡아내지 못한다고 보도됐습니다. 보안칩은 기기 안에서 열쇠를 지키는 핵심 부품입니다.

추정 공책으로 치면 정품 확인은 표지의 상표가 진짜인지 보는 일입니다. 표지는 진짜가 맞습니다. 다만 페이지 사이에 끼운 먹지까지 넘겨 보지는 않습니다. 그래서 쓰는 동안 이상한 점을 알아채기 어렵습니다.

사실 렛저는 자사 시스템과 직접 판매 채널은 뚫리지 않았다고 말했다고 전해졌습니다. CryptoBilis는 조사가 끝날 때까지 하드웨어 지갑 판매를 멈췄다고 보도됐습니다.

숫자로 본 규모

숫자마다 무엇과 견줘야 하는지 같이 적었습니다. 오른쪽 칸을 먼저 보세요.

숫자 무엇의 수인가 이렇게 읽는다
24개 복구 단어 수 받아쓰기 한 번 분량입니다. 이 짧은 목록이 지갑 전체의 열쇠입니다
정가의 절반 가까이 변조된 기기가 팔린 값 (연구자 주장) 반값 할인이 아니라 경고 신호로 읽어야 합니다
90일 렛저가 “이 기간에 CryptoBilis에서 샀다면 점검하라”고 정한 구매 기간 약 석 달입니다. 다만 Bitquery는 6월 이후 구매분도 영향을 받았을 수 있다고 봤습니다
8,600만~9,300만 달러 외부 연구자들이 추정한 탈취 규모 렛저가 확인한 공식 피해액이 아닙니다

사실 마지막 숫자는 블록체인 기록을 추적한 외부 연구자들의 추정입니다. 블록체인 기록은 코인이 오간 내역이 모두에게 공개된 장부입니다. 렛저는 이 금액을 확인하지 않았습니다.

추정 그래서 이 숫자는 “확정 피해액”으로 읽으면 안 됩니다. 이렇게만 읽습니다. 기기 한 대에 자기 자산 전부를 넣어 둔 사람이 많았다. 금고라고 믿었으니 그랬을 겁니다. 이 숫자는 피해자 수도 아닙니다. 피해자가 몇 명인지는 아래 “우리가 모르는 것”에 따로 적었습니다.

내가 지금 할 일

사실 렛저 권고와 브리프를 바탕으로 세 가지로 추렸습니다.

1. 어디서 샀는지부터 확인합니다. CryptoBilis에서 샀거나, 제조사 공식 스토어가 아닌 곳에서 산 하드웨어 지갑이 있다면 아직 설정하지 마세요. 렛저는 최근 90일 안에 이 리셀러에게 산 기기는 설정하지 말라고 권고한 것으로 보도됐습니다.

2. 이미 쓰고 있다면 새 공책으로 옮깁니다. 제조사에서 직접 산 새 기기를 준비합니다. 거기서 새 복구 단어를 만들고 자산을 옮깁니다.

추정 먹지가 깔린 공책에 쓴 글은 이미 복사됐다고 봐야 합니다. 같은 공책에 지우개질을 해도 아래 장은 그대로입니다. 그래서 기기만 바꾸면 안 되고 단어까지 새로 만들어야 합니다.

3. “렛저 고객센터”라며 단어를 묻는 연락은 끊습니다.

사실 렛저는 전화나 DM(개인 메시지)으로 먼저 연락하지 않고, 복구 단어도 묻지 않는다고 밝혔습니다. 이번 사건을 미끼로 한 사칭 사기도 경고했다고 보도됐습니다.

사실 쓰는 동안 알아챌 단서는 많지 않습니다. 브리프가 꼽은 것은 이 정도입니다.

  • 정가보다 지나치게 싸게 샀는가
  • 공식 스토어가 아니라 오픈마켓·경매·중고로 샀는가
  • 내가 설정하지 않았는데 이미 쓴 흔적이 있는가

연구자들은 기기를 열면 안테나 선이 보인다고 말합니다. 하지만 일반 사용자가 기기를 뜯어 볼 일은 아닙니다. 위 세 가지를 확인하는 것으로 충분합니다.

사실 해당 범위도 짚어 둡니다. 확인된 피해자는 CryptoBilis 구매자입니다. 연구자 표본 중에는 일본 아마존(중국 판매자, 말레이시아 발송)과 야후 옥션 재팬에서 산 기기도 있었다고 보도됐습니다.

추정 그러니 해외 직구나 오픈마켓에서 정가보다 싼 하드웨어 지갑을 산 국내 코인 투자자도 위 확인 목록을 한 번 돌려 볼 만합니다. 다만 국내 유통분이 오염됐다는 보도는 없습니다.

먹지는 쓰는 사람 눈에 보이지 않습니다. 그래서 공책은 어디서 받아 왔는지가 먼저입니다. 하드웨어 지갑도 같습니다.

우리가 모르는 것

아래는 아직 확인되지 않았습니다. 이 글은 이 부분을 아는 척하지 않습니다.

  • 언제, 어디서, 누가 기기를 바꿨는지. 렛저도 아직 모른다고 했습니다.
  • 피해 지갑과 피해자 수. CoinDesk는 연구자 추정으로 300개 이상이라고 전했습니다. The Block은 정확한 수를 아직 모른다고 했습니다.
  • 공식 피해액. 8,600만~9,300만 달러는 외부 추정이고 렛저는 확인하지 않았습니다.
  • CryptoBilis가 변조에 관여했는지. 렛저는 이 리셀러를 변조범으로 지목하지 않았습니다. 창펑 자오가 “공격자가 리셀러를 인수했다”고 주장했지만 근거는 나오지 않았습니다.
  • 유럽 MediaMarkt 판매분도 오염됐다는 X(옛 트위터) 주장. 확인되지 않았고 렛저는 이를 언급하지 않았습니다.
  • CryptoBilis 말고 다른 판매망에도 변조 기기가 있는지. 지금까지는 징후가 없다고 보도됐습니다.
  • 국내 유통분이나 국내 피해자가 있는지. 관련 보도가 없습니다.
  • 공격 주체. 밝혀지지 않았습니다. 우리는 국적이나 소속을 추정하지 않습니다.
  • 칩 구조의 출처. eSIM·LTE 방식과 두 가지 설치 형태는 BleepingComputer가 Tibane Labs와 Mark Karpelès를 인용한 2차 정보입니다.

출처

1차 출처

보도

브리프 기준일 2026-10-13. 이 글은 우리 허니팟 관측이 아니라 언론 보도를 우리 말로 다시 정리한 것입니다. 렛저 공식 X 게시물과 Tibane Labs 보고서 원문은 직접 열어 보지 못했습니다. 그래서 네 매체가 인용한 내용을 서로 대조해 적었습니다. 공격 주체, 변조 시점과 경로, 공식 피해액, 피해자 수는 확인되지 않았습니다. 이 사건에는 마스킹할 IP나 인용할 자격증명이 없어 다루지 않았습니다. 악성 주소나 설치 방법도 적지 않았습니다.