트레저, 레저 지갑 변조 보도 이후 공인 리셀러 축소

경쟁사 레저를 겨냥한 하드웨어 이식 공격으로 암호화폐 지갑 유통 과정의 취약성이 드러난 뒤 트레저가 공인 리셀러를 줄이고 있다. 대니 샌더스 트레저 최고영업책임자는 10월 13일자 서한에서 선정된 파트너들의 공인 자격이 2027년 1월 1일부로 종료된다고 밝혔다. 트레저는 자사 유통망에서 기기가 훼손됐다는 증거를 찾지 못했다며 이번 구조 개편은 예방 조치라고 설명했다.

샌더스는 트레저가 기존 유통망의 모든 파트너를 더는 충분히 점검할 수 없어 공인 판매업체 검토에 착수했다고 말했다. 샌더스는 하드웨어 지갑의 안전성이 소유자에게 전달되는 유통 경로에 달려 있다고 주장했다. 트레저는 파트너십 종료 대상을 결정하기 전에 매출, 유통망 범위, 고객에게 직접 도달할 수 있는 역량을 기준으로 개별 시장을 평가했다. 영향을 받는 소매업체는 추가 재고를 공급받지 않지만 블랙프라이데이와 크리스마스 쇼핑 시즌 동안 기존 재고를 판매할 수 있다. 트레저는 1월 1일 영향을 받는 업체들을 공인 리셀러 명단에서 삭제할 예정이다. 트레저는 공인 자격을 잃게 될 업체 수나 영향을 받는 시장을 공개하지 않았다.

샌더스는 트레저 제품에 사업이 의존하는 소규모 소매업체에 이번 결정이 상당한 재정적 영향을 미칠 수 있다고 인정했다. 그러나 샌더스는 이번 구조 개편이 영향을 받는 파트너의 잘못이나 기존 재고의 안전성에 대한 우려를 반영한 것은 아니라고 강조했다. 트레저는 계약 요건을 강화하고, 남은 공인 소매업체가 기기를 조달·보관·취급하는 방식을 추가로 점검할 계획이다. 이 변화로 규정 준수 부담이 늘어날 수 있지만, 기기가 고객에게 전달되기 전 재고에 대한 트레저의 통제력은 커질 수 있다.

레저는 동남아시아에서 영업하는 공식 리셀러 크립토빌리스가 판매한 지갑 내부에 공격자가 무단 전자 부품을 설치한 사실을 확인했다. 레저의 돈존 보안팀은 해당 부품이 지갑 설정 중 표시되는 24단어 복구 문구를 포착할 수 있다는 점을 발견했다. 돈존 팀은 내장 eSIM을 이용한 LTE 연결을 통해 이식된 부품이 해당 정보를 전송할 수 있다는 점도 발견했다. 이 부품은 지갑의 보안 요소와 운영체제와 별도로 작동해 공격자가 정상적인 거래 서명 절차를 방해하지 않고 복구 정보를 탈취할 수 있었다. 레저는 10월 10일 이 발견을 확인했다. 레저는 사건과 관련해 확인된 모든 도난 사례가 크립토빌리스에서 구매한 기기와 관련돼 있다고 밝혔다. 크립토빌리스는 이후 레저 제품 판매를 중단했다.

그러나 조사자들은 추가 공인 소매업체와 관련한 제보도 조사하고 있다. 레저는 독일에서 이식된 부품이 든 기기를 구매했다는 보도가 나온 뒤 미디어마르크트자투른이 오프라인 매장과 온라인 플랫폼에서 레저 하드웨어 지갑 판매를 중단했다고 10월 13일 확인했다. 레저는 독일 사건과 관련해 금전적 손실을 보고한 바 없다고 밝혔다. 마운트곡스 전 최고경영자 마크 카펠레스는 싱가포르 창이공항의 메타팟 매장에서 구매한 레저 플렉스 안에서 별도로 감시용 부품을 발견했다고 전했다. 크립토퀀트 애널리스트 다크포스트도 싱가포르 비보시티의 챌린저 매장에서 구매한 레저 플렉스가 변조됐다는 제보를 알렸다. 레저는 이러한 발견 사항을 독립적으로 확인하지 않았으며 크립토빌리스 공격과 연관된 것으로 확인하지도 않았다.

다크포스트는 이후 잠재적 유통 노출을 근거로 동남아시아와 유럽의 공인 소매업체를 포함하는 감시 목록을 확대했다. 다크포스트는 목록에 포함됐다고 해서 기기 변조가 확인된 것은 아니라고 주의를 당부했다. 제보가 늘면서 기기가 어디서 변조됐는지, 사건들이 공통된 유통 경로를 공유하는지를 둘러싼 조사가 강화됐다. 독립 블록체인 조사자들은 광범위한 사건과 관련해 9,300만 달러에 육박하는 손실 의혹을 제기했다. 그러나 레저는 도난당한 총액이나 피해 고객 수를 확인하지 않았다.

레저는 자사 내부 시스템과 서비스가 침해되지 않았다는 입장을 유지하고 있다. 레저의 돈존 팀은 변조의 출처와 범위를 확인하기 위해 추가로 제출된 기기를 조사하고 있다. 의심되는 침해의 출처와 전체 범위는 여전히 알려지지 않았다.