레저, 리셀러 CryptoBilis 연계 지갑 인출 사건 조사: 7,200만~8,700만 달러 추정, 동남아 공급망 공격 의혹
게재일: 2026년 10월 11일 — 카테고리: 암호화폐
2026년 10월 9일, 파리에 본사를 둔 하드웨어 지갑 업체 레저(Ledger)는 X 지원 계정을 통해 리셀러 CryptoBilis에서 기기를 구입한 동남아시아 사용자들의 자금 손실 신고를 조사 중이라고 밝혔습니다. 불과 몇 시간 만에 온체인 조사자들은 수천만 달러가 빠져나간 것으로 추정했습니다. 이번 사건은 “셀프 커스터디”의 신뢰 기반을 정면으로 건드립니다. 하드웨어 지갑이 가장 안전한 보관 방식이라는 말은, 내 손에 도착한 기기가 온전할 때에만 성립하기 때문입니다. 이 글은 확인된 사실과 아직 가설에 불과한 부분을 구분해 살펴봅니다.
무엇이 발표되었나?
- 레저의 발표(2026년 10월 9일): CryptoBilis에서 구매한 동남아시아 사용자들의 자금 손실 신고를 조사 중이며, 조사 기간 동안 이 리셀러에 “모든 레저 기기의 판매와 배송을 중단”하도록 요청했습니다. 총 피해액, 피해자 수, 원인은 아직 확인하지 않았습니다.
- 리셀러: CryptoBilis는 인도네시아, 말레이시아, 필리핀의 레저 공식 리셀러로 등재되어 있으며 쿠알라룸푸르에 기반을 두고 있습니다. 영문 매체 보도에 따르면 이 업체는 언론 질의에 응답하지 않았습니다.
- 레저가 밝힌 범위: 레저의 인프라, 시스템, 서비스는 침해되지 않았고, 레저에서 직접 구매한 기기와 관련된 신고는 접수되지 않았으며, 사건은 해당 리셀러와 시장에 국한된다고 설명했습니다. 레저는 전 세계에서 700만 대 이상을 판매했다고 밝혔습니다.
추정 피해액: 어떤 숫자를 믿을 수 있나?
현재의 모든 수치는 독립 온체인 연구자들에게서 나온 것이며 레저나 어떤 기관도 확인하지 않았습니다. The Block은 두 추정치가 같은 거래와 주소를 다루는지 불분명하다고 지적했습니다.
| 추정 출처 | 피해액 | 비고 |
|---|---|---|
| tanuki42 | 7,200만 달러 이상 | 의심 주소 8개 제시, 수치는 계속 증가 |
| Specter | 8,600만 달러 이상 | 비트코인·이더리움·트론에서 추적, “수백 개의 피해자 지갑”에서 유입, 정확한 지갑 수는 미상 |
| Specter가 공유한 Arkham 데이터 | 의심 주소에 약 8,700만 달러 | ETH 약 4,200만 달러, BTC 1,760만 달러, USDT 1,650만 달러(Decrypt 보도) |
다시 말해 7,200만~8,700만 달러가 현재의 추정 범위이며, 조사가 진행되면 달라질 수 있습니다. 또한 빠져나간 모든 자금이 이 리셀러와 관련됐다고 단정할 수도 없습니다.
어떤 수법이 의심되나?
확인된 원인은 아직 없습니다. 공개적으로 논의되는 가설은 두 가지입니다.
- 공급망 공격: 자오창펑(CZ)은 현재 정보가 한 공급업체를 통한 공급망 공격을 시사하며, “소수의 사람이 가짜(또는 변조된) 레저를 샀을 가능성이 있다”고 말했습니다.
- 사전 변조된 기기: 마운트곡스 전 CEO 마크 카르펠레스는 이번 신고가 자신이 조사 중인 기기 변조 사건과 관련 있을 수 있다고 밝혔고(말레이시아에서 온 기기를 입수했다고 함), 피해자들에게 회로 기판 사진을 보내달라고 요청했습니다.
기술적으로 변조된 기기에는 공격자가 이미 알고 있는 복구 문구(시드 구문)가 미리 심어져 있을 수 있습니다. 이 경우 구매자가 “지갑을 설정”하는 순간 사실상 타인이 쥔 키를 쓰는 셈이 되고, 자금을 입금한 뒤에 빠져나갑니다. 이는 언론의 분석일 뿐 조사 결론이 아니며, 기기 변조에 대한 공식 확인은 아직 없습니다.
레저의 권고와 사용자가 할 일
- 최근 90일 이내에 이 리셀러에서 기기를 구입했고 아직 설정하지 않았다면 기기를 초기 설정하지 마세요.
- 이미 설정했다면 레저는 새 복구 문구를 새로 생성한 새 레저 기기로 자산을 옮길 것을 권고합니다.
- 이 권고는 구매자의 거주지가 아니라 구매 채널을 기준으로 적용됩니다.
- 의심 주소로 자금이 빠져나갔다면 Security Alliance의 SEAL 911 사고 대응팀에 연락할 수 있습니다.
- 일반 원칙(이번 사건에 대한 레저의 개별 권고가 아님): 복구 문구는 반드시 본인의 기기에서 직접 생성해야 하며, 상자에 들어 있거나 타인이 건네준 문구는 절대 사용하지 말고, 제조사나 제조사가 공식 안내한 채널에서 구매하며 포장과 봉인 상태를 확인하세요.
시장에는 어떤 의미가 있나?
첫째, 셀프 커스터디의 위험이 코드뿐 아니라 물리적 공급망에도 있음을 다시 일깨웁니다. 둘째, 2026년의 보안 환경은 이미 긴장 상태입니다. Decrypt에 따르면 비트겟은 지난달 조사관들이 북한과 연결 지은 해킹으로 약 3억 8,700만 달러를 잃었고, 솔라나의 드리프트(Drift)는 2억 8,500만 달러 규모의 익스플로잇을 겪었습니다. 셋째, 하드웨어 지갑 사용이 빠르게 늘고 있는 동남아시아 지역의 신뢰에 타격입니다. 다만 이번 소식에 대한 뚜렷한 시장 가격 반응은 보도되지 않았으며, 비트코인은 10월 10일 8만 2천~8만 3천 달러 부근에서 거래됐습니다.
결론
2026년 10월 11일 현재 확실한 것은 레저가 조사 중이고, 리셀러 CryptoBilis에 판매 중단이 요청됐으며, 온체인 분석가들이 수천만 달러가 의심 주소로 흘러간 것을 확인했다는 점뿐입니다. 원인, 피해자 수, 최종 피해액은 확인되지 않았습니다. 사용자는 레저의 공식 공지를 따르고, 소셜 미디어의 소문에 근거한 추측은 삼가야 합니다.
면책 조항: 이 글은 정보 제공 목적이며 게재 시점의 공개 자료를 종합한 것으로, 투자 조언이나 보안 자문이 아닙니다. 피해액은 확인되지 않은 추정치이며 변경될 수 있습니다.
출처: The Block(2026년 10월 9일), Decrypt(2026년 10월 9~10일), TechReport(2026년 10월 10일), Finance Magnates