카르펠레스, 레저 하드웨어 지갑 변조 의혹에 조기 경고와 신속한 대응 필요성 제기

신속한 대응 필요

레저 지갑 보안 논란, 초기 경고를 둘러싼 의문

암호화폐를 안전하게 보관하기 위해 사용하는 하드웨어 지갑에서 악성 프로그램이 발견되면서 제조업체의 보안 대응과 유통 과정의 신뢰성이 주요 쟁점으로 떠올랐다. 프랑스의 하드웨어 지갑 제조업체 레저(Ledger)는 동남아시아의 한 판매 경로를 통해 유통된 일부 제품에서 승인되지 않은 하드웨어 변조가 확인됐으며, 이와 관련된 암호화폐 손실 사례가 보고됐다고 밝혔다.

이번 사안에서 특히 관심을 끄는 부분은 보안 문제가 처음 알려진 시점과 제조업체가 대응한 과정이다. 마운트곡스의 전 최고경영자였던 마크 카르펠레스는 레저의 최근 보안 논란이 본격적으로 알려지기 전부터 기기 변조에 관한 제보가 있었다고 주장했다. 보안 연구원 조 그랜드 역시 과거 온라인 마켓플레이스에서 구매한 레저 나노 X에서 악성 프로그램을 발견하고 회사에 알렸다고 밝혔다.

이러한 주장이 사실이라면 단순히 특정 제품에서 보안 문제가 발생했다는 사실을 넘어, 제조업체가 초기 위험 신호를 얼마나 빠르게 조사하고 고객에게 전달했는지가 중요한 문제로 남는다. 다만 개별 제보의 처리 과정과 피해 범위, 각 사례 사이의 연관성은 구분해 살펴볼 필요가 있다.

2025년 말부터 제기됐다는 기기 변조 신고

카르펠레스는 코인텔레그래프와의 인터뷰에서 2025년 12월부터 레저 하드웨어 지갑의 변조와 관련된 신고가 접수됐다는 사실을 알고 있었다고 전했다. 그는 최소 두 건의 관련 신고가 있었던 것으로 파악하고 있으며, 당시 공개적인 고객 경고가 충분히 이뤄지지 않았다고 지적했다.

이 주장이 주목받는 이유는 하드웨어 지갑이 일반적인 전자제품과 달리 디지털 자산의 보안에 직접 연결되는 장치이기 때문이다. 사용자는 지갑 제조업체가 제공하는 보안 설계와 제품 검증 절차를 신뢰하고 기기를 구매한다. 따라서 제품 자체의 취약점뿐 아니라 제조 이후 운송, 보관, 재판매 과정에서 발생하는 변조 가능성도 중요하게 관리해야 한다.

특히 초기 제보가 접수됐을 때 제조업체가 모든 사실을 확인하지 못했더라도, 위험 가능성이 반복적으로 보고된다면 구매자에게 주의를 당부하는 방안을 검토할 수 있다. 반대로 충분한 증거 없이 경고를 발표하면 정상 제품에 대한 불필요한 불안이 확산될 수도 있다. 결국 중요한 것은 조사에 필요한 시간을 확보하면서도 잠재적 피해를 줄일 수 있도록 위험 수준과 확인된 사실을 명확하게 전달하는 것이다.

조 그랜드가 공개한 레저 나노 X 분석

보안 연구원 조 그랜드는 2025년 8월 태국의 온라인 쇼핑 플랫폼 라자다(Lazada)에서 레저 나노 X를 구매했다고 밝혔다. 이후 해당 제품을 분석하는 과정에서 악성 프로그램이 설치된 정황을 발견했으며, 2026년 3월 4일 레저에 관련 내용을 전달했다고 주장했다.

그랜드에 따르면 레저 측은 제보를 인지하고 내부 조사를 진행하고 있다는 취지로 답변했다. 그러나 그는 이후 비슷한 유형의 문제가 반복적으로 제기되는 상황에서 회사가 소비자에게 보다 적극적으로 주의를 알렸어야 한다고 비판했다.

그의 주장은 보안 연구원의 제보가 기업 내부의 조사 자료로만 남아서는 안 된다는 문제의식과 연결된다. 하드웨어 지갑은 외관상 정상 제품처럼 보이더라도 내부 부품이나 펌웨어가 변경됐다면 사용자가 이를 쉽게 알아차리기 어렵다. 특히 일반 구매자는 전문적인 분석 장비와 기술 지식을 갖추고 있지 않기 때문에 제품의 이상 여부를 직접 확인하는 데 한계가 있다.

다만 악성 프로그램의 구체적인 작동 방식과 실제 자산 탈취 과정, 해당 제품과 다른 피해 사례 사이의 관계는 별도로 검증해야 한다. 제보가 존재한다는 사실과 모든 제품에서 동일한 문제가 발생한다는 주장은 서로 다르기 때문이다.

10월 9일 알려진 암호화폐 손실 사건

레저의 보안 논란은 2026년 10월 9일 동남아시아의 판매 경로를 통해 유통된 지갑과 관련해 암호화폐 손실 신고가 알려지면서 더욱 주목받았다. 보도에 따르면 관련 판매업체는 크립토빌리스(CryptoBilis)이며, 레저는 피해가 보고된 기기 가운데 적어도 한 대에서 승인되지 않은 하드웨어 임플란트가 확인됐다는 취지로 설명했다.

하드웨어 임플란트는 제품 내부에 제조사가 승인하지 않은 부품이나 장치가 추가된 상태를 의미한다. 이러한 변조는 정상적인 제조 공정을 거친 제품과 외관상 구별하기 어려울 수 있으며, 사용자가 제품을 처음 개봉하는 순간에도 이상을 발견하지 못할 가능성이 있다.

이번 사건의 핵심은 악성 프로그램이나 변조 부품이 어떤 경로로 기기에 들어갔으며, 실제 암호화폐 손실과 어떤 방식으로 연결됐는지를 확인하는 데 있다. 기기 변조가 발견됐다는 사실만으로 모든 피해 원인이 확정되는 것은 아니다. 구체적인 공격 경로와 기술적 증거, 피해 발생 시점 등을 함께 조사해야 정확한 결론을 내릴 수 있다.

일부 보도에서는 피해 규모가 8,600만 달러를 넘어설 가능성도 거론됐다. 그러나 이러한 수치는 추정치일 수 있으므로 확정된 피해액과 구분해야 한다. 피해 규모를 판단할 때는 실제 확인된 손실과 추가 조사 중인 금액을 따로 살펴보는 것이 바람직하다.

라자다 판매자 목록에서 드러난 유통 경로 문제

그랜드가 공개한 분석에서 또 다른 관심사는 변조 의심 제품의 판매 경로였다. 그는 자신이 구매한 제품의 판매자가 라자다에서 ‘LedgerXXX’라는 이름으로 등록돼 있었다고 설명했다. 보도 당시 해당 판매자는 레저의 공식 판매점 목록에 태국 내 공인 판매자로 표시돼 있지 않았던 것으로 전해졌다. 반면 라자다에 별도로 마련된 레저 공식 스토어는 공인 판매 경로로 안내되고 있었다.

이 차이는 온라인 마켓플레이스에서 제품을 구매할 때 소비자가 겪는 혼란을 보여준다. 대형 쇼핑 플랫폼에서는 동일한 상품 페이지에 여러 판매자가 입점하거나, 공식 매장과 독립 판매자의 상품이 비슷한 방식으로 노출될 수 있다. 구매자는 플랫폼 자체의 신뢰도와 개별 판매자의 공식 인증 여부를 혼동하기 쉽다.

제조업체가 공식 판매점을 운영하고 있더라도 플랫폼에 등록된 모든 판매자가 자동으로 공인 유통업체가 되는 것은 아니다. 판매자 이름과 상품 설명이 정품처럼 보인다는 사실만으로 제품의 출처나 내부 상태까지 보장되는 것도 아니다.

이번 사안은 전자상거래 플랫폼과 제조업체가 판매자 인증 정보를 더욱 명확하게 제공할 필요가 있음을 보여준다. 공식 판매처 목록을 쉽게 확인할 수 있도록 하고, 비공인 판매자가 유통하는 제품에 대해서는 구매자가 위험을 판단할 수 있는 정보를 충분히 제공해야 한다.

제조업체의 책임과 판매자 검증의 중요성

하드웨어 지갑 업계에서는 제품을 안전하게 설계하는 것만큼 유통 과정의 보안도 중요하다. 제조업체가 정교한 보안 기능을 적용하더라도 제품이 출고된 뒤 제3자에 의해 변조되면 초기 설계의 장점이 제대로 작동하지 않을 수 있기 때문이다.

멀티브랜드 제품과 다양한 독립 판매자가 공존하는 온라인 시장에서는 소비자가 정식 유통 경로를 직접 확인해야 하는 경우가 많다. 원키(OneKey)의 영업 책임자 아치는 코인텔레그래프와의 인터뷰에서 대형 마켓플레이스에 다수의 독립 판매자가 존재하며, 상품 페이지 구성에 따라 공식 판매자와 제3자 판매자를 구분하기 어려울 수 있다고 설명했다.

원키는 최근 관련 사건들을 계기로 자사 리셀러 목록을 정리하고 판매자 검증 절차를 강화하겠다는 방침을 밝힌 것으로 전해졌다. 이는 고객이 모든 위험을 스스로 판단하도록 하기보다는 제조업체가 유통 파트너의 신뢰성을 확인하고 구매자가 참고할 수 있는 정보를 제공해야 한다는 접근이다.

판매자 검증은 단순히 업체 이름을 등록하는 것으로 끝나지 않는다. 공식 계약 관계와 공급 경로를 확인하고, 판매 제품의 출처를 추적할 수 있도록 관리하며, 의심스러운 제품이 발견됐을 때 조사 결과를 공유하는 절차가 필요하다. 문제가 확인되면 판매 중단이나 제품 회수, 구매자 안내 등 상황에 맞는 조치를 신속하게 검토해야 한다.

트레저에서도 보고된 비공인 판매 제품의 변조 의혹

하드웨어 지갑의 유통 보안 문제는 레저에만 국한된 사안이 아니다. 조 그랜드는 2026년 8월 틱톡과 페이스북의 비공인 판매자를 통해 구매한 트레저(Trezor) 제품에서도 변조 의혹을 발견했다고 밝혔다. 관련 제품으로는 트레저 원(Trezor One)과 모델 T(Model T)가 언급됐다.

보도에 따르면 트레저는 승인되지 않은 판매자를 통해 위조되거나 변조된 제품이 유통될 가능성을 인정하면서, 과거 러시아 온라인 마켓플레이스에서 판매된 변조 기기에 대한 경고도 언급했다. 또한 최근 공인 판매점을 통해 유통된 새 제품에서 중복이나 변조의 증거가 확인되지 않았다는 설명은 검증되지 않은 판매 경로의 제품까지 모두 안전하다는 의미는 아니라고 구분했다.

이러한 차이는 제품의 위험성을 평가할 때 유통 경로가 중요한 판단 기준이라는 점을 보여준다. 공인 판매점에서 구입한 제품과 출처를 확인하기 어려운 판매자에게서 구매한 제품은 동일한 수준으로 평가하기 어렵다. 제조업체가 공식 공급망의 품질 관리를 철저히 하더라도 외부 유통망에서 발생하는 모든 변조 가능성을 완전히 통제하기는 쉽지 않다.

트레저는 비공인 판매자를 통한 변조 신고를 위험을 파악하는 초기 신호로 활용하고, 연구 결과를 보안 점검 강화에 반영한다는 입장을 밝혀왔다. 다만 개별 업체의 대응 방식과 경고 기준은 다를 수 있으므로 소비자는 제조업체의 최신 공식 안내를 확인해야 한다.

하드웨어 지갑 구매자가 확인해야 할 보안 수칙

이번 논란은 암호화폐 보관 장치를 선택할 때 가격이나 배송 속도만을 기준으로 삼아서는 안 된다는 점을 강조한다. 가장 먼저 제조업체 공식 홈페이지에서 공인 판매점 목록을 확인하고, 구매하려는 쇼핑몰의 판매자 정보가 해당 목록과 일치하는지 살펴보는 것이 좋다.

제품을 수령한 뒤에는 포장 상태와 봉인 여부, 구성품, 제품 식별 정보 등을 점검해야 한다. 다만 포장이 정상적으로 보인다고 해서 내부 변조 가능성이 완전히 사라지는 것은 아니다. 외관 확인은 기본적인 점검 수단일 뿐, 제품의 보안을 확정적으로 증명하는 방법은 아니다.

초기 설정 과정에서도 주의가 필요하다. 지갑의 복구 문구는 기기 설정 과정에서 직접 생성해야 하며, 이미 복구 문구가 적힌 종이가 제품에 동봉돼 있다면 사용하지 않는 것이 안전하다. 제조업체나 판매자가 복구 문구를 알려주거나 온라인에 입력하도록 요구하는 경우에도 경계해야 한다. 복구 문구가 유출되면 공격자가 별도의 물리적 접근 없이도 자산을 탈취할 수 있기 때문이다.

의심스러운 기기를 발견했다면 해당 지갑에 큰 금액을 입금하지 말고 제조업체의 공식 지원 채널을 통해 확인하는 편이 좋다. 이미 자산 손실이 발생했다면 관련 거래 내역과 구매 기록, 판매자 정보 등을 보존하고 거래소나 관계 기관에 필요한 조치를 문의해야 한다.

향후 보안 업데이트와 기업의 정보 공개가 관건

앞으로 주목할 부분은 레저가 초기 제보를 어떤 절차로 조사했는지, 확인된 변조 제품의 유통 범위가 어디까지인지, 고객 보호를 위해 어떤 조치를 마련하는지다. 연구원들의 주장이 제기됐다는 사실만으로 기업의 고의적인 은폐가 입증되는 것은 아니다. 그러나 반복적인 위험 신호가 있었다면 조사 경과와 위험 수준을 투명하게 설명하는 것이 고객의 신뢰를 회복하는 데 도움이 될 수 있다.

온라인 플랫폼 역시 공인 판매자 표시를 더 명확하게 하고, 판매자 자격이 변경되거나 의심 제품이 신고될 경우 구매자가 이를 쉽게 알아볼 수 있도록 안내할 필요가 있다. 제조업체와 플랫폼, 보안 연구원 사이의 정보 공유가 원활하게 이뤄진다면 유사한 피해가 확대되는 것을 막는 데 도움이 된다.

이번 사건이 남긴 가장 중요한 교훈은 하드웨어 지갑의 안전성이 기기 자체의 기술력만으로 결정되지 않는다는 점이다. 제조 단계의 보안 설계, 유통 과정의 검증, 초기 신고에 대한 대응, 사용자 교육이 함께 작동해야 디지털 자산을 보다 안전하게 보호할 수 있다.

FAQ

레저 하드웨어 지갑에서 어떤 보안 문제가 제기됐나요?

일부 유통 제품에서 제조사가 승인하지 않은 하드웨어 임플란트와 악성 프로그램이 발견됐다는 주장이 제기됐습니다. 관련 암호화폐 손실도 보고됐지만, 구체적인 공격 경로와 전체 피해 규모는 확인된 사실과 조사 중인 내용을 구분해 살펴봐야 합니다.

하드웨어 지갑은 공식 판매점에서 구매해야 하나요?

가능하면 제조업체가 안내하는 공식 판매점이나 공인 유통업체를 이용하는 것이 좋습니다. 온라인 마켓플레이스에서 구매할 때는 플랫폼의 인지도만 믿지 말고 실제 판매자 이름과 공인 여부를 별도로 확인해야 합니다.

제품을 받은 뒤 변조 여부를 어떻게 확인할 수 있나요?

포장과 봉인 상태, 구성품, 제품 식별 정보를 확인하고 제조업체의 공식 안내에 따라 초기 설정을 진행해야 합니다. 다만 외관이 정상이라고 해서 변조가 없다고 단정할 수는 없습니다. 의심스러운 점이 있다면 자산을 입금하기 전에 공식 지원 채널에 문의하는 것이 안전합니다.

하드웨어 지갑의 복구 문구가 중요한 이유는 무엇인가요?

복구 문구는 지갑을 복원하고 연결된 암호화폐 자산에 접근하는 데 사용되는 핵심 정보입니다. 다른 사람이 이를 알게 되면 자산을 탈취할 수 있으므로 온라인에 입력하거나 타인에게 전달하지 않아야 합니다. 제품에 미리 인쇄된 복구 문구가 제공된다면 사용하지 말고 제조업체의 공식 절차에 따라 새 지갑을 설정해야 합니다.