새로 구입한 Ledger 하드웨어 지갑에 보관된 비트코인 80개가 입금 열흘 만인 10월 9일 한 번의 거래로 이체됐다. 당시 가치로 약 660만 달러 규모다. Ledger는 해당 기기를 판매한 동남아시아 유통업체 CryptoBilis에 판매 중단을 요청하고 자금 이동 경위를 조사하고 있다. 기기가 변조됐는지는 아직 확인되지 않았다.
이번 사건은 대규모 비트코인 손실뿐 아니라 하드웨어 지갑의 유통·초기 설정 과정에도 관심을 불러왔다. Ledger는 조사 결과를 공개하지 않았으며, 블록체인 추적업체마다 관련 피해 규모를 다르게 추산하고 있다.
비트코인 80개, 10월 9일 한 차례에 이체
블록체인 추적업체 룩온체인(Lookonchain)에 따르면 해당 거래자는 약 4개월 전 비트코인 80개를 매입했다. 평균 매입가는 개당 약 6만5,000달러로, 총 매입 비용은 약 520만 달러였다. 공개된 비트코인 거래 기록상 자금은 9월 29일 해당 지갑으로 모두 들어갔고, 10월 9일 05시 54분(UTC) 한 건의 거래로 빠져나갔다.
이체 당시 비트코인 가격은 개당 8만3,000달러를 웃돌았다. 룩온체인은 자금이 이동하기 전 이 비트코인의 평가이익이 약 138만 달러였을 것으로 추산했다. 거래 기록에는 같은 시점에 분석가들이 이번 자금 이동과 연관됐다고 보는 주소로 들어간 대규모 이체가 최소 6건 더 나타난다. 다만 주소 간 연관성은 온체인 분석에 근거한 판단이다.
Ledger, CryptoBilis에 판매 중단 요청
사건 발생 몇 시간 뒤 Ledger는 CryptoBilis에 판매를 중단해 달라고 요청했다. 최근 기기를 구매한 고객에게는 당분간 설정을 진행하지 말라고 안내했다. Ledger는 판매나 배송 과정에서 기기가 조작됐는지 밝히지 않았으며, 문제의 기기 모델과 조사 결과도 공개하지 않았다.
하드웨어 지갑은 일반적으로 암호화폐를 오프라인으로 보관하는 데 쓰인다. 그러나 이번 사건의 원인은 아직 밝혀지지 않았다. 자금 이체가 지갑 자체, 구매 경로, 기기 초기 설정 과정 또는 다른 요인과 관련 있는지는 현재로선 확인되지 않았다. Ledger는 조사가 진행되면 추가 내용을 알리겠다고 밝혔다.
관련 피해액 추산은 8,000만 달러 넘어
블록체인 분석업체 아캄(Arkham)은 이번 사건과 관련된 자금 손실이 8,000만 달러를 넘는 것으로 추산하면서도 원인은 확인되지 않았다고 밝혔다. 보안업체 슬로우미스트(SlowMist)의 추적 서비스 미스트트랙(MistTrack)은 피해 규모가 최대 9,000만 달러에 이를 수 있다고 추산했다.
미스트트랙은 스테이블코인 USDT 발행사 테더(Tether)가 도난 자금과 관련된 주소의 USDT를 동결했다고도 전했다. 테더는 자사가 발행한 토큰의 추가 이동을 제한할 수 있다. 다만 이번 조치는 해당 주소에 있는 USDT에 대한 것으로, 비트코인 자체가 동결됐다는 뜻은 아니다.
올해 하드웨어 지갑 보안 문제 잇따라 주목
하드웨어 지갑 업체들은 올해 여러 보안 문제로 주목을 받았다. 지난 8월에는 콜드카드(Coldcard)의 펌웨어 취약점으로 공격자가 약 7,000만 달러 상당의 비트코인을 옮겼다는 주장이 제기됐다.
Ledger 조사가 진행 중인 가운데 확인이 필요한 사안은 기기 변조 여부, 유통업체의 판매·배송 과정에 문제가 있었는지, 그리고 온체인 분석에서 관련됐다고 본 자금 규모가 어느 정도인지다.