하드웨어 지갑 “Ledger Nano X”의 내부에는 복원용 24개의 단어를 훔치는 전자 회로가 숨겨져 있었다는 사실이 밝혀졌습니다. 일본의 아마존이나 야후!옥션에서 구매한 제품들로부터도 개조 부품이 발견되었으며, 제조사인 레저(Ledger)는 동남아시아의 판매점들을 통해 구매된 기기들에서도 불법적인 전자 회로가 발견되었다고 인정했습니다. Tibane Labs - Solana R&Dhttps://www.tibane.net/research/ledger-nano-x-implant
하드웨어 지갑은 암호화폐를 관리하기 위해 필요한 “비밀 키”를 전용 칩에 보관하는 장치입니다. 비밀 키를 컴퓨터나 스마트폰으로부터 물리적으로 격리함으로써, 멀웨어 등으로 인한 정보 유출을 방지하는 역할을 합니다.
Ledger Nano X에는 “세큐어 엘리먼트”라는 이름의 높은 안전성을 가진 칩이 탑재되어 있습니다. 다만, 초기 설정에서는 Wallet을 복원하기 위한 24개의 단어를 화면에 표시해야 합니다. 24개의 단어는 “리커버리 프레이즈”라고 하며, 제3자에게 알려질 경우 다른 장치에서 Wallet을 복원되어 암폐 자산을 훔쳐갈 수 있습니다. Ledger를 둘러싸고는, 가짜 관리 앱 “Ledger Live”에 리커버리 프레이즈를 입력하도록 하는 수법도 보고되었습니다. App Store에서 배포된 가짜 암폐 자산 Wallet 앱이 약 15억 원 상당의 암폐 자산을 훔쳐나가는 – GIGAZINE
이번에 발견된 것은 화면에 표시되는 정보를 내부에서 추출하여 보는 시스템입니다. 보안 연구팀인 Tibane Labs에 따르면, 개조된 Ledger Nano X에는 보안 요소와 화면을 연결하는 배선에서 정보를 읽어取る 소형 전자 회로가 부착되어 있었으며, 도청용 전자 회로는 화면으로 전송되는 데이터를 감시하고, 복구 문구가 표시될 때 문자 형태를 식별하여 24개의 단어를 기록합니다. 더 나아가, 휴대폰 회선으로 통신하기 위한 LTE 통신 모듈과 eSIM도 갖추고 있어, 기록한 단어를 외부로 전송할 수 있는 시스템이었습니다. 사용자가 초기 설정을 진행하는 것만으로 복구 문구가 도난될 수 있다는 것입니다. 유사한 개조 품은 2025년 8월에 처음 보고되었으며, 하드웨어 보안 연구자인 조·그랜드(Joe Grand) 씨가 2026년 5월에 개최된 보안 관련 회의에서 분석 결과를 발표했습니다. 초기 개조 품은 얇은 배선을 수작업으로 납땜한 구조였으며, 추가 부품을 수용하기 위해 배터리도 소형 제품으로 교체되었습니다.
그 후, Tibane Labs는 2026년 9월에 새로운 2대의 개조된 제품을 확보했습니다. 하나는 일본의 Yahoo! 오키쿠션에서 구매한 제품이었고, 다른 하나는 일본의 Amazon에 판매된 제품이었습니다. Amazon에서 구매한 기기에는 중국을 본거지로 하는 판매자가 출품했으며, 말레이시아에서 배송되었습니다. Yahoo! 오키쿠션에서 확보된 기기에는 얇게 구부러지는 데 전용으로 사용되는 기판이 장착되어 있었습니다. 초기 개조품에서 사용되던 대량의 배선이 정리되고 내부적으로 수용하기 쉬운 구조로 변화되었을とのこと. 하지만 계속해서 배터리는 소형의 것으로 교체되었습니다.
한편, 아마존에서 확보된 기기에는 화면의 뒷면(뒤쪽)에 있는 쿠션재를 제거하여 전자 회로를 수용함으로써 원래 배터리를 교체하지 않고 개조 부품을 숨기는 것이 밝혀졌습니다. 추가된 기판은 주변과 동일하게 검은색으로 칠해져 있었으며, 일부 칩에는 모델 번호를 식별할 수 없도록 표면을 깎은 자국도 발견되었습니다.
Tibane Labs는 새로운 개조 부품 및 안테나가 전용으로 설계된 점에도 주목하고 있습니다. 특히 Amazon에서 입수된 기기의 개조 부품은 본체의 내부 구조에 완벽하게 들어맞는 형태이며, Tibane Labs는 다수의 기기에 효율적으로 장착될 수 있도록 설계된 것으로 보고 있습니다. 또한, Ledger의 공식 확인 기능 “Genuine Check”에서는 도청용 전자 회로를 발견할 수 없다는 점이 언급되었습니다. Genuine Check는 Secure Element가 공식 제품임을 확인하는 기능이며, 공식 칩을 그대로 남겨둔 채 추가된 부품까지는 감지할 수 없다고 설명되어 있습니다. 이러한 가운데, Ledger는 2026년 10월 9일에 동남아시아의 판매점 “CryptoBilis”를 통해 구매된 지갑에서 암호화폐가 도난당했다는 보고에 대해 조사에 착수하고 제품의 판매 및 발송을 중단하도록 요청했습니다. 다음 날인 10일에는 피해자가 소유하고 있던 기기 중 최소 1대에서 불법적인 전자 회로가 확인되었다고 발표했습니다. Ledger에 따르면, 10월 9일에 공개된 사건에서 확인된 피해는 CryptoBilis를 통해 판매된 기기와 관련이 있으며, 영향을 받은 제품의 수는 제한적이라고 밝혔습니다. 반면, Tibane Labs는 일본에서 구매한 개조 품과 CryptoBilis 사이에 직접적인 연관이 있는지 확인하지 못했다고 주장하고 있습니다. Ledger는 문제의 판매점에서 구매한 기기를 아직 초기 설정하지 않은 경우 사용을 중지하도록 권고하고 있습니다. 이미 초기 설정한 경우에는 신뢰할 수 있는 새로운 기기를 사용하여 새로운 복구 문구를 생성하고 암호화폐를 이동시키는 것을 권장합니다. 참고로, Ledger는 자사의 시스템이나 공식 웹사이트에서 직접 판매된 기기에 대한 영향은 확인되지 않았으며, 피해자 연락을 진행하면서도 관계 당국과 협력하여 불법적인 개조가 이루어진 경위와 실행자의 특정을 위한 조사를 지속하고 있다고 밝혔습니다.
원문 보기 | 출처: Gigazine