조사자들 "레저 지갑 탈취 의심 피해액 9,000만 달러에 근접"

블록체인 조사자들은 레저 지갑 탈취 의심 피해액이 9,000만 달러에 근접한 것으로 추산한다. 온체인 조사자 스펙터(Specter)는 처음에 의심되는 탈취액이 8,600만 달러를 넘는다고 추산했다. 블록체인 보안업체 미스트트랙(MistTrack)은 이후 신고된 피해액이 9,000만 달러에 가까운 것으로 추산했다. 이 추산은 독립적으로 검증되지 않았다. 조사자들은 계산에 포함된 모든 지갑이 같은 작전으로 침해됐는지 확인하지 못했다.

레저는 10월 9일 성명에서 하드웨어 지갑 제조업체인 자사가 크립토빌리스에서 기기를 구매한 고객들의 피해 신고를 조사하고 있다고 밝혔다. 크립토빌리스(CryptoBilis)는 동남아시아에서 운영되는 공인 재판매업체로, 레저의 공식 재판매업체 명단에서 말레이시아·인도네시아·필리핀 업체로 등재돼 있다. 레저는 조사가 진행되는 동안 예방 조치로 크립토빌리스에 레저 하드웨어 지갑의 판매와 배송을 즉시 중단해 달라고 요청했다. 레저는 지난 90일 동안 크립토빌리스에서 기기를 구매한 고객에게 설정을 완료하지 않은 기기를 초기화하지 말라고 권고했다. 레저는 설정을 마친 지갑을 보유한 고객에게 새 복구 문구로 초기화한 새 레저 기기로 암호화폐를 옮기는 방안을 고려하라고 촉구했다. 고객들은 위조되거나 침해된 하드웨어를 받을 위험을 줄이기 위해 일반적으로 공인 유통업체와의 거래에 의존한다.

바이낸스 창업자 자오창펑은 사용자들에게 주의를 기울이라고 경고했으며, 특히 최근 레저 기기를 구매한 사용자에게 주의를 당부했다. 자오창펑은 공개된 정보로 볼 때 한 판매업체에 국한된 공급망 공격인 것으로 보인다고 말했다. 자오창펑은 장기간 쌓아온 레저의 보안 평판을 강조하면서 일부 고객이 위조되거나 변조된 기기를 받았을 가능성이 있다고 말했다. 자오창펑은 의심되는 공격자를 찾아내고 도난 자산을 회수하기 위해 업계가 협력해야 한다고 촉구했다. 자오창펑은 BNB 생태계 참여자와 업계 전반이 자금 추적과 회수를 도울 것으로 기대한다고 말했다.

마운트곡스 전 최고경영자 마크 카펠레스는 고객에게 배포된 기기에 악성 하드웨어 부품이 삽입됐는지 조사하고 있다. 카펠레스는 내부 회로 기판에 감시용 장치나 무단 개조 흔적이 있는지 살펴볼 수 있도록 크립토빌리스에 판매되지 않은 레저 지갑 일부를 개봉해 달라고 요청했다. 레저의 보안 문서는 정품 확인 기능이 기기의 보안 칩을 검증하지만, 원래 보안 칩이 온전하게 남아 있는 경우 다른 부분의 물리적 개조까지 반드시 식별할 수 있는 것은 아니라고 설명한다. 따라서 물리적으로 변조된 기기에 무단 부품이 들어 있어도 인증을 통과할 수 있다. 악성 하드웨어가 신고된 탈취의 원인이었다는 확증은 없다. 레저는 침해됐을 가능성이 있는 기기의 수를 공개하지 않았으며, 위조 하드웨어와 물리적 변조, 또는 다른 공격 방식 가운데 무엇이 이번 사건을 일으켰는지도 밝혀내지 못했다.

블록체인 조사자들은 도난 암호화폐의 이동을 추적하고 제한하려는 한편, 레저는 침해의 의심되는 원인을 조사하고 있다. 스펙터는 거래 분석 결과 비트코인·이더리움·트론 네트워크의 주소들로 의심 피해 지갑 수백 개에서 자금이 유입된 사실을 확인했다고 밝혔다. 미스트트랙은 이번 사건과 관련된 USDT를 테더가 동결하는 것을 관찰했다고 밝혔다. 미스트트랙은 피해를 입은 사용자 몇 명이 도움을 요청하려고 자사 팀에 연락했다고 밝혔다.

USDT에는 테더가 지정된 주소에서의 이체를 제한할 수 있는 관리 기능이 있어 잠재적인 자금 회수 경로가 된다. 동결된 주소의 제한이 해제되지 않는 한 사용자는 일반적인 블록체인 거래로 해당 USDT를 옮길 수 없다. 이 기능은 조사자들이 소유권을 확인하는 동안 도난 자금이 다른 지갑으로 이동하거나 다른 암호화폐로 전환되는 것을 막는 데 도움이 될 수 있다. 그러나 의심되는 탈취는 여러 블록체인 네트워크에 걸쳐 있으며 USDT 외 자산도 포함한다. 테더는 비트코인이나 이더리움 자체를 동결할 수 없다. 따라서 해당 자산이 식별 가능한 서비스로 이동하면 조사자들은 거래소·수탁업체·법 집행기관의 협조에 의존해야 한다.

USDT 동결만으로 토큰이 원래 소유자에게 자동 반환되는 것은 아니다. 피해 보상을 위해서는 추가 검증과 관련 당국 또는 거래 상대방과의 조율이 필요하다. 미스트트랙은 제한된 토큰의 달러 가치를 공개하지 않았다. 따라서 신고된 피해액 약 9,000만 달러 가운데 회수 가능한 비율은 판단할 수 없다. 조사자들은 지갑이 어떻게 침해됐는지, 의심되는 도난 자금 중 얼마를 회수할 수 있는지 아직 밝혀내지 못했다. 이런 불확실성으로 인해 추가 거래로 자금이 흩어지기 전에 남은 자금을 찾아내야 한다는 조사자들의 압박이 커지고 있다.