카펠레스 “레저, 보안 위기 수개월 전부터 하드웨어 변조 제보 받아”

마운트곡스 전 CEO 마크 카펠레스는 프랑스 하드웨어 지갑 제조사 레저(Ledger)가 최근 보안 위기 수개월 전부터 악성 하드웨어 삽입물에 관한 제보를 여러 건 받았다고 말했다. 카펠레스는 변조된 기기와 관련해 2025년 12월까지 거슬러 올라가는 제보를 레저에 한 사람이 최소 2명인 것으로 알고 있다고 말했다. 그는 레저가 이에 대응해 공개 경고를 한 것을 본 적이 없다고 말했다.

보안 연구자 조 그랜드는 나노 X에 악성 삽입물이 있었다는 사실을 2026년 3월 4일 레저에 알렸다고 밝혔다. 그랜드는 2025년 8월 온라인 마켓플레이스 라자다 태국에서 해당 기기를 구매했다. 그랜드는 레저가 조사 결과를 인정하고 내부적으로 조사 중이라고 밝혔다고 말했다. 그는 위협에 대해 고객에게 선제적으로 경고하지 않은 레저를 비판했다.

레저의 보안 위기는 동남아시아의 공인 리셀러 CryptoBilis를 통해 판매된 지갑과 관련한 암호화폐 손실이 보고된 10월 9일 불거졌다. 레저는 피해 기기 하나에 무단 삽입물이 들어 있었다고 확인했다. 레저는 그랜드의 제보를 처리한 방식에 대한 논평을 거부하고 문의를 X에 게시한 자사의 공개 입장으로 안내했다.

카펠레스는 의심스러운 판매점에서 구매한 기기에서 삽입물 하나가 발견된 경우 대응하지 않는 것이 정상일 수 있다고 말했다. 그러나 레저가 받았을 것이 분명한 제보가 늘고 기술이 점점 정교해지는 상황이라면 레저가 조치를 취했어야 한다고 주장했다. 카펠레스는 레저가 최소한 고객에게 주의를 당부했어야 한다고 말했다.

그랜드는 발표 자료에서 변조된 레저 기기의 판매자가 라자다의 LedgerXXX라고 밝혔다. 기사 작성 시점에 LedgerXXX는 태국의 공인 리셀러로 등록돼 있지 않았다. 그러나 라자다의 레저 공식 스토어는 공인 판매점으로 등록돼 있었다. 기기 구매 당시 판매자의 신원과 공인 여부를 그랜드와 레저에 확인 요청했다.

원키(OneKey) 영업 책임자 아치는 라자다 같은 마켓플레이스에는 독립 판매자가 다수 입점해 있어 고객이 공인 매장을 구분하기 어렵다고 말했다. 최근 사건 이후 원키는 더 엄격한 확인 절차를 마련할 때까지 리셀러 목록을 내렸다. 원키는 고객이 신뢰할 수 있는 판매자를 직접 가려내는 데만 의존하지 말고 제조사가 고객 보호에 책임을 져야 한다고 밝혔다.

그랜드는 2026년 8월 틱톡과 페이스북의 비공인 판매자에게서 구매한 변조된 트레저(Trezor) 원과 모델 T 지갑에 대해서도 트레저에 알렸다. 트레저는 비공인 판매자를 통해 위조 지갑이 간혹 유통된다고 말했다. 트레저는 2022년 러시아 마켓플레이스에서 판매된 변조 기기에 대해 경고한 바 있다. 트레저는 손상된 기기의 증거가 없다는 최근 주장은 공인 리셀러를 통해 판매된 새 지갑에만 해당한다고 밝혔다.

트레저는 비공인 판매자와 관련된 제보를 초기 경고로 취급하고 연구자들이 발견한 내용을 보안 점검 개선에 활용한다고 밝혔다. 트레저는 새로운 기법이 등장하거나 공인 유통 경로에서 첫 사례가 발생하면 문제가 일반 구매자에게 더 가까워질 것이라고 말했다. 트레저는 어느 쪽이든 발생하면 고객에게 직접 경고하는 것을 포함해 가장 신속하게 대응할 것이라고 밝혔다.