하드웨어 지갑 제조업체인 레저(Ledger)는 2026년 10월 9일, 동남아시아에서 사업을 운영하는 리셀러 크립토빌리스(CryptoBilis)를 통해 판매된 기기와 관련된 보안 사고를 조사하고 있다고 밝혔습니다. 해당 판매 채널을 통해 하드웨어 지갑을 구매한 고객들이 레저 또는 공인 판매점에서 직접 구매한 고객들보다 상당한 금액의 자금을 잃었다는 보고가 나온 후였습니다. 레저의 공식 발표를 인용한 보도에 따르면, 피해를 입은 사용자들의 총 손실액은 초기 추산치로 8,600만 달러를 넘어섰습니다.
이에 대해 레저(Ledger) 공식 지원 계정은 조사가 진행되는 동안 추가 피해를 최소화하기 위한 구체적인 지침을 발표했습니다. 지난 90일 이내에 크립토빌리스(CryptoBilis)에서 레저 기기를 구매한 사용자는 기기 설정 과정을 절대 시작하지 말 것을 권고받았습니다. 이는 해킹된 기기가 초기화 과정에서 사용자의 복구 문구나 개인 키를 노출하도록 설계되었을 가능성이 있기 때문입니다. 크립토빌리스를 통해 구매한 기기의 설정을 이미 완료한 사용자에게는 레저 측의 지침이 더욱 시급했습니다. 잠재적으로 해킹된 기기를 계속 사용하는 대신, 해당 기기에 보관된 모든 자산을 완전히 새로운 시드 문구로 초기화된 새 레저 서명 계정으로 옮길 것을 권고했습니다.
레저는 이번 사태에 대한 대응의 일환으로, 자금 손실 조사가 진행되는 동안 크립토빌리스(CryptoBilis)에 모든 제품 판매 및 배송을 중단해 줄 것을 공식적으로 요청했다고 밝혔습니다. 이는 문제의 범위와 원인을 파악하는 동안 해당 채널을 통해 잠재적으로 손상된 기기를 구매하는 추가 고객을 방지하기 위한 조치입니다. 이번 사건은 보안 연구원들이 하드웨어 지갑 업계에서 오랫동안 경고해 온 패턴과 일치합니다. 승인되지 않았거나 검증이 미흡한 제3자 판매업체를 통해 구매한 기기는 제조업체나 공식적으로 검증된 소매 파트너로부터 직접 구매한 기기보다 변조 위험이 훨씬 높습니다. 공급망이 손상되면 기기가 구매자에게 도달하기 전에 악성 펌웨어 또는 하드웨어 변조가 침투할 수 있기 때문입니다.
Ledger는 이전에도 다른 맥락에서 리셀러 관련 및 공급망 보안 문제를 다룬 적이 있으며, 업계 전반의 하드웨어 지갑 제조업체들은 일반적으로 고객에게 브랜드 자체 웹사이트 또는 명시적으로 승인된 소매 파트너를 통해서만 구매하도록 권장합니다. 이는 최종 사용자에게 도달하기 전에 기기가 물리적으로 소유되는 경우, 사용자가 손상된 기기를 신뢰하고 설정하게 되면 아무리 뛰어난 소프트웨어 보안도 기기 변조를 완전히 막을 수 없기 때문입니다.
레저(Ledger)는 공식 지원 채널인 공식 X 계정을 통해 발표한 안내문에서 피해를 입은 고객 수나 최종 손실액을 구체적으로 밝히지 않았으며, 8,600만 달러라는 수치는 조사가 진행 중인 상황에서의 추정치라고 설명했습니다. 레저는 또한 피해 고객에게 직접 보상할 계획인지, 아니면 사건의 전말이 완전히 파악된 후 크립토빌리스(CryptoBilis)를 상대로 법적 조치를 취할 것인지에 대해서도 언급하지 않았습니다.
