레저, 크립토빌리스 판매 지갑의 LTE 임플란트가 복구 문구 노출했다고 밝혀

레저는 크립토빌리스가 판매한 지갑에 심어진 악성 임플란트가 기기 화면에 표시된 사용자의 복구 문구를 포착해 셀룰러 네트워크로 전송했다고 밝혔다. 레저의 보안 연구팀 레저 돈존은 화요일 성명에서 임플란트가 설정 과정에 표시되는 24단어 복구 문구를 해독하는 마이크로컨트롤러를 사용했다고 밝혔다. 레저는 임플란트가 내장형 SIM(eSIM)을 이용해 LTE 네트워크로 데이터를 전송했다고 말했다. 레저는 임플란트가 기기의 보안 칩을 손상시키거나 거래를 변경하지는 않았다고 밝혔다.

이 사건은 크립토빌리스를 통해 판매된 레저 기기와 관련한 암호화폐 손실이 보고된 뒤 금요일 알려졌다. 크립토빌리스는 인도네시아, 말레이시아, 필리핀의 공식 리셀러로 등록돼 있었다. 레저는 영향을 받은 기기 하나에 승인되지 않은 임플란트가 들어 있었다고 토요일 확인했다. 블록체인 조사자 스펙터는 손실액이 8,600만 달러를 넘을 수 있다고 밝혔다. 사이버보안 매체 Yfarmx는 자체 추산치를 1억300만 달러로 상향했다. 레저는 총액을 확인하지 않았다.

레저는 변조를 의심하는 사용자에게 레저 고객지원팀에 연락하고 경찰에 신고하라고 권고했다. 레저는 다른 곳에서 기기를 구매한 고객 중 우려가 있는 이들에게 점검 안내서를 제공했다. 안내서는 기기를 열면 손상될 수 있다고 경고하고, 먼저 복구 문구를 백업하라고 권고한다. 지금까지 확인된 손실은 크립토빌리스가 판매한 기기와 관련돼 있다. 그러나 레저는 해당 리셀러 외의 제보도 조사하고 있다고 밝혔다.

이와 별도로 X 이용자 요하네스는 별개의 미디어마르크트 매장에서 구매했다고 밝힌 레저 기기 2대의 사진을 게시했다. 미디어마르크트는 유럽의 소비자 가전제품 유통업체다. 요하네스는 두 기기 모두에서 임플란트가 발견됐다고 말했다. 레저는 유럽에서 나온 제보가 크립토빌리스 사건과 연관됐는지 확인하지 않았다.

크립토빌리스는 토요일 말레이시아, 필리핀, 인도네시아 전역에서 모든 하드웨어 지갑 브랜드의 판매와 배송을 중단했다고 밝혔다. 이번 중단은 앞서 레저 기기에 한정해 시행한 판매 중단을 확대한 것이다. 크립토빌리스는 오프라인 매장도 일시 폐쇄했다. 크립토빌리스는 독립 전문가들과 함께 자사 절차를 검토하고 있다고 밝혔다.

트레저는 월요일 크립토빌리스를 통해 판매된 트레저 기기 변조 관련 제보를 받은 적이 없다고 밝혔다. 트레저는 자사 제품이 영향을 받았다는 징후를 발견하지 못했다고 말했다. 그러나 트레저는 크립토빌리스를 공식 리셀러 네트워크에서 제외했다. 원키도 관련 사용자 손실은 없다고 밝혔다. 그러나 원키는 크립토빌리스의 리셀러 자격을 종료했다. 원키는 신규 리셀러 등록을 중단하고 기존 유통망 검토에 착수했다. 원키는 2026년 3월 1일부터 10월 12일 사이 크립토빌리스에서 구매한 원키 기기를 무료로 교체해 주겠다고 밝혔다. 대상 고객은 12월 31일까지 신청할 수 있다.

레저는 하드웨어 지갑을 800만 대 넘게 판매했다고 밝혔다. 하드웨어 지갑은 사용자의 개인 키를 오프라인으로 보관하고 기기에서 거래를 승인할 수 있게 해 준다.