레저, 임플란트 조사 업데이트서 크립토빌리스만 지목…이용자들은 더 광범위한 조작 주장

레저의 10월 13일 임플란트 조사 업데이트는 동남아시아 리셀러 크립토빌리스(CryptoBilis)만 지목했다. 이용자들은 몇 분 만에 주요 유럽 전자제품 체인 메디아마르크트(MediaMarkt)에서도 조작된 기기가 발견됐다고 주장했다. 레저는 다른 서명 장치와 지역 관련 제보를 검토하고 있다고 밝혔다. 그러나 크립토빌리스 외부에서 발생한 사례는 확인하지 않았다. 비판자들은 다른 소매업체를 언급하지 않은 것을 문제 축소로 해석했다.

레저의 사내 보안팀인 레저 돈존(Ledger Donjon)은 임플란트가 설정 중 화면에서 복구 문구를 읽는다고 밝혔다. 레저 돈존은 임플란트가 이어서 휴대전화 연결을 통해 24개 단어를 전송한다고 말했다. 내장된 정품 확인 기능인 레저 정품 확인(Genuine Check)은 보안 칩을 검증하지만 주변 부품 전체를 확인하지는 않는다. 따라서 숨겨진 스파이 칩이 이 검사를 통과할 수 있다.

여러 이용자는 문제가 아시아를 넘어선다고 주장하며 업데이트에서 메디아마르크트와 다른 유럽 지역을 언급하지 않은 이유를 물었다. 한 이용자는 레저의 공급망도 유럽에서 침해됐다고 주장했다. 이 이용자는 다른 메디아마르크트 매장에서 산 두 번째 기기에도 같은 추가 케이블과 셀룰러 모듈이 들어 있었다고 말했다. 이 이용자는 리콜을 촉구하며 증거로 개봉 영상을 공유했다. 또 매장 기록을 통해 해당 재고가 유럽 전자제품 유통업체 아키파(Aqipa)에서 공급된 사실을 확인했다고 덧붙였다. 이 이용자는 이후 분석을 위해 해당 기기를 레저에 보냈다.

레저는 자금이 빠져나간 이용자들에게 고객지원팀에 연락해 해당 사례를 집계할 수 있도록 해 달라고 요청한다. 레저는 피해 이용자들에게 경찰 신고도 요청한다. 그러나 레저의 업데이트는 배상 문제를 다루지 않았다. 레저는 자금을 잃은 이용자 수나 손실 총액을 확인하지 않았다. 한 트레이더가 크립토빌리스를 통해 구매한 뒤 비트코인 660만 달러어치를 잃은 것으로 전해졌다.

레저는 크립토빌리스에서 구매한 이용자들에게 새 복구 문구를 적용한 새 서명 장치로 자금을 옮기라고 계속 안내하고 있다. 레저는 이용자에게 전화하거나 직접 메시지를 보내거나 복구 문구를 요구하는 일은 절대 없다고 경고한다. 일부 보유자는 조작 여부를 확인하기 위해 이제 하드웨어 지갑의 무게를 재지만, 무게가 일치해도 확인되는 것은 거의 없다. 임플란트 사건은 신뢰 논쟁의 초점을 보안 칩에서 소매 유통으로 옮긴다. 유럽에서 사례가 확인되면 리콜 여부가 쟁점으로 떠오를 수 있다.