레저(Ledger)는 공급망에서 기기를 물리적으로 조작해 9,300만 달러 상당의 암호화폐를 훔친 사건 이후 판매 정책과 기기 변조 방지책을 재검토한다. 회사는 직접 판매와 재판매업체 관리, 제품의 유통 경로 추적 절차도 살펴볼 예정이다.

사건은 10월 9일 비트코인, 이더리움, 트론 네트워크에서 지갑 수백 개의 자금이 동시에 빠져나가며 드러났다. 초기 조사에서 피해 지갑 대부분이 말레이시아와 동남아시아를 담당하는 공인 제3자 판매업체 CryptoBilis를 통해 유통된 것으로 나타났다. 레저는 CryptoBilis에 판매와 배송을 즉시 중단하라고 지시했다.

레저는 10월 10일 피해자 기기에서 휴대전화 통신 기능을 갖춘 무단 하드웨어 모듈을 발견했다고 발표했다. 공격자는 공급망 과정에서 새 기기에 칩을 수작업으로 설치한 것으로 파악됐다. 사용자가 초기 설정 중 24단어 복구 문구를 화면에서 만들거나 확인할 때 칩이 화면 출력을 기록하거나 해당 문구가 오가는 하드웨어 데이터 라인을 읽었다. 이후 LTE를 통해 암호화되지 않은 복구 문구를 공격자의 서버로 전송해 개인 키를 복제하고 암호화폐를 빼낼 수 있었다.

이 개조는 레저의 표준 펌웨어를 실행하는 칩 바깥에서 이뤄져 회사의 자동 ‘Genuine Check’ 절차를 우회했다. 레저는 자사 내부 인프라와 펌웨어 코드, 공식 스토어를 통한 직접 판매 경로는 침해되지 않았다고 밝혔다.

레저 최고기술책임자 샤를 기예메(Charles Guillemet)는 변조가 의심되는 기기를 가진 고객에게 레저 지원팀에 연락해 기기를 보내는 방법을 안내받으라고 했다. 기기를 직접 열어 확인하려는 고객에게는 안전하게 여는 방법에 관한 회사 지침을 먼저 살펴보라고 권고했다.

레저 최고경영자 파스칼 고티에(Pascal Gauthier)는 직접 판매와 재판매업체에 적용되는 통제 절차를 검토하고, 공유할 수 있는 내용을 공개하겠다고 밝혔다. 회사는 연구자와 다른 업체에도 관련 절차를 함께 평가하자고 제안했다. 조사 기간 동안 제3자 판매업체에서 산 지갑을 사용하는 고객에게는 새로 생성한, 침해되지 않은 24단어 복구 문구로 보호되는 별도 지갑에 자금을 옮기라고 권고했다.

회사는 공급업체 검증과 공급망 요건도 개편하고 있다. 유통업체에 제품 추적을 강화하고 승인된 경로로만 제품을 조달하며, 반품된 제품을 다시 재고로 넣거나 재판매하지 말라고 지시했다.

관련 보도: CryptoBilis에서 판매된 지갑에 무단 칩이 설치돼 복구 문구가 유출된 사건, 블룸버그 보도