그들은 Ledger를 해킹하지 않았다, 기기를 파는 회사를 사들였다

Bala(@BalaiBB)가 2026-10-10 18:10(한국 시각)에 올린 X 장문 게시물의 결론은, Ledger 하드웨어 지갑 사용자들의 돈을 빼낸 공격자가 코드를 뚫은 것이 아니라 기기를 파는 회사를 샀다는 것이다. 저자가 지목한 회사는 동남아시아의 Ledger 공인 리셀러 CryptoBilis다.

팩트체크 종합 등급 C — 16건 가운데 거짓 판정은 530만 달러 피해자 사례 1건이다. 주장별 근거는 팩트체크에 있다.

글이 그린 사건: 주인이 바뀐 공인 리셀러가 칩을 심은 기기를 팔았다

글은 인수부터 Ledger의 대응까지를 시간 순서로 서술한다. 어느 단계에도 날짜는 붙어 있지 않다.

주인만 바뀐 공인 리셀러(문단 2–5)

글에 따르면 CryptoBilis는 인수 사실이 알려지지 않은 채 새 주인에게 넘어갔다. 저자는 이 회사를 수년간 Ledger를 팔아 온 믿을 만한 정식 업체로 소개한다. 글은 어느 중국 회사가 말레이시아인 원소유주에게서 이 회사를 조용히 사들였다고 적는다. 새 주인은 원소유주에게 비밀유지 계약에 서명하게 했다고 한다. 원소유주는 그 계약 때문에 회사가 팔렸다는 말을 누구에게도 할 수 없었다는 것이 저자의 설명이다.

인수 뒤에도 브랜드명과 웹사이트, “공인 리셀러” 배지는 그대로였다고 글은 쓴다. 바뀐 것은 저자의 표현으로 “그 뒤에 있는 사람들”뿐이다. 인수한 회사도 원소유주도 글에 이름이 나오지 않는다.

출고 전 모든 기기에 칩 납땜(문단 6–7)

저자에 따르면 새 주인은 출고 전에 모든 Ledger 기기를 열기 시작했다. 그 ‘모든’이 몇 대인지는 글에 없다. 글이 적은 작업 순서는 네 단계다.

1. 기기 내부 기판에 작은 스파이 칩을 납땜한다.
2. 기기를 다시 포장한다.
3. 상자를 밀봉한다.
4. 배송한다.

설정하는 순간 넘어간 키(문단 8–10)

글에 따르면 칩은 사용자가 기기를 설정하는 순간 개인 키(private key)를 조용히 가로챘다. 사용자가 시드 구문(seed phrase)을 다 받아 적기도 전에 그 구문이 공격자에게 넘어갔다고 저자는 쓴다. 글의 묘사로는 기기의 겉모습도 촉감도 작동도 정상이었다. 칩이 어떤 경로로 데이터를 밖으로 보냈는지는 글에 없다.

지갑 수백 개와 “모든 걸 제대로 한” 피해자(문단 1·11–14)

저자는 세 체인에 걸친 지갑 수백 개가 “전부” 비워졌다고 쓴다. 정확한 지갑 수는 글에 없다. 총액 8,600만 달러는 첫 문단 끝에 한 번 나온다. 체인별 내역이나 숫자의 출처는 없다.

글은 530만 달러를 잃은 한 피해자의 말을 옮긴다. “나는 모든 걸 제대로 했다. 레버리지도 밈코인도 안 했다. 우리 모두 들은 대로 자금을 하드웨어 지갑에 보관했다.” 저자는 피해자의 문장을 되받아 “그의 말이 맞다. 그는 모든 걸 제대로 했다”고 쓴다. 기기 안에 그가 볼 수 없는 기생충이 있었다는 점만 빼면 그렇다고 덧붙인다. 피해자의 이름도, 이 말이 나온 자리도 글에는 없다.

피해자 이야기는 이 공격이 왜 위험한지에 대한 저자의 근거다. 피해자가 꼽은 규칙은 모두 사용자가 고르는 행동이다. 저자의 서술에서 칩은 그보다 앞서, 판매처가 출고하기 전에 들어갔다(문단 6–7). 사용자가 지킬 수 있는 규칙은 그 단계에 닿지 않는다는 것이 이 대목의 논리다.

Ledger의 지시와 카르펠레스의 사진(문단 15–16)

저자에 따르면 Ledger는 글이 올라온 2026-10-10 시점에 이미 CryptoBilis에 모든 판매를 멈추라고 지시했다. 최근 구매자에게는 기기를 설정하지 “말라”고 알렸다고 글은 쓴다. 두 지시는 경로의 양 끝에 하나씩 놓인다. 판매처 쪽에는 판매 중지 지시, 구매자 쪽에는 설정 중단 권고다. 설정 중단은 저자가 칩이 키를 가로챈다고 쓴 그 순간과 겹친다.

글이 내세우는 물증은 마크 카르펠레스(Mark Karpelès)가 올렸다는 임플란트(기판에 심은 칩) 사진 하나다. 저자의 묘사로는 위에 정상 기판이, 아래에 스파이 칩이 있다. 사진은 게시물에 붙어 있지 않다. 카르펠레스가 언제 어디에 올렸는지도 글은 적지 않는다. 사진 속 기기의 구매처는 팩트체크 C15에서 판정한다.

논증: 한 사건에서 ‘2026년 가장 위험한 공격’으로

글은 첫 문단과 마지막 두 문단에 ‘코드 대신 인수’라는 같은 판정을 둔다. 그 사이 15개 문단이 사건 서술이다. 첫 문단은 이 사건 하나를 판정한다. 마지막 두 문단(문단 17–18)은 그 판정을 2026년 암호화폐 업계 전체의 순위로 넓힌다. 그 최상급을 받칠 다른 공격 사례도, 본문 주장의 출처 링크도 글에는 없다.

판정의 이름표는 공격의 앞 단계에 붙어 있다. 본문에서 인수는 판매 경로를 여는 단계다. 글의 서술로는 키를 빼낸 것은 출고 전에 납땜한 칩이다(문단 7·9). ‘코드 한 줄이 아니었다’는 문장이 부정하는 것은 소프트웨어 공략이다. 하드웨어 개조라는 기술 단계는 저자의 서술 안에 그대로 남아 있다.

판정을 받치는 전제는 글에 문장으로 나오지 않는다. 저자는 먼저 CryptoBilis의 공인 지위와 수년의 판매 이력을 세운다(문단 2). 문단 5에서는 겉모습은 그대로인데 사람만 바뀌었다는 대비를 둔다. 이 배치가 깔고 있는 전제는 구매자의 신뢰가 사람이 아니라 간판에 붙어 있었다는 것이다. 저자가 대문자로 쓴 ‘BOUGHT’로 공격자가 손에 넣은 것은 회사다. 그 거래에 간판의 신뢰가 딸려 갔다는 것이 본문의 구도다.

저자의 그림에서 구매자가 볼 수 있는 표면은 회사와 기기 양쪽에서 정상으로 남는다. 회사 쪽에서는 비밀유지 계약과 그대로 둔 간판이 주인 교체를 가린다(문단 4–5). 기기 쪽에서는 재포장과 밀봉, 정상 작동이 칩을 가린다(문단 7–8).

본문은 독자를 피해자의 자리에 세운다. 첫 문단은 공격자가 “당신에게 기기를 파는 회사”를 샀다고 쓴다. 문단 9와 10에서 칩이 가로챈 키와 시드 구문도 “당신의” 것이다. 530만 달러 피해자의 말에 나오는 “우리 모두”에도 독자가 들어간다.

같은 대화에서 저자가 덧붙인 입장

저자는 게시 약 1시간 15분 뒤인 2026-10-10 19:24~19:26(한국 시각), 3분이 안 되는 사이에 댓글 다섯 개에 짧게 답했다. 본문의 판정을 거둔 답은 없다.

“안타깝다. 그럼 이제 암호화폐는 어떻게 보관하는 게 최선이냐”는 댓글(@lordcrypt2022)에 저자는 다른 선택지와 비교하면 여전히 콜드 월렛(cold wallet)이라고 답했다. 괄호 안의 단서는 “제3자 위험과 펌웨어 버그는 제외”(excluding third party risks and firmware bug)다. 본문의 공격은 Ledger와 구매자 사이에 선 판매처를 거쳤다. 저자의 권고는 그런 제3자 위험을 계산에서 뺀 판단이다.

회사를 팔면서 알리지 않은 것은 이상한 위험 신호(red flag)라는 댓글(@Ryvane11)에는 “확실히 그렇다”고 답했다. 본문에서는 비밀유지 계약이 그 신호를 가렸다(문단 4).

Ledger가 최소한 보상안이라도 마련해야 한다는 댓글(@Jesse4mu)에는 “동의한다”고 답했다. 본문이 적은 Ledger의 조치는 판매 중지 지시와 설정 중단 권고 두 가지다. 보상은 그 목록에 없다. 본문은 공격자가 Ledger를 해킹하지 않았다고 쓴다(문단 1). 저자는 그 판정과 별개로 Ledger에 보상안을 요구하는 쪽에 섰다.

나머지 두 답은 짧은 반응이다. “이제 암호화폐에서 우리는 안전하지 않다”는 댓글(@HabeebSz)에 저자는 “말 그대로 무슨 일이든 일어날 수 있다”고 답했다. “정말 슬픈 일이다. 그냥 조심하자”는 댓글(@Pgm__x)에는 “그러게”라고만 했다. 판매처를 어떻게 확인할지는 본문에도 답글에도 없다.

저자의 서술을 따르면 이 피해는 구매자가 상자를 열기 전, 판매처의 주인이 바뀐 날 이미 시작됐다.

게시물 본문

같은 대화의 작성자 답글

1. @Ryvane11회사를 팔면서 공지도 안 한다는 게 어쩐지 이상하게 들리고 존나 레드플래그다.

   Bala응, 확실히 그렇다.

2. @lordcrypt2022아이고, 이거 슬프다.
   그럼 이제 암호화폐는 어떻게 보관하는 게 제일 좋냐.

   Bala다른 선택지와 비교하면 나는 그래도 콜드 월렛을 꼽겠다(제3자 리스크와 펌웨어 버그는 빼고).

3. @Jesse4muLedger가 최소한 보상안은 마련해야 한다.

   Bala동의한다.

4. @HabeebSz암호화폐 세계에서 우리는 더 이상 안전하지 않다.

   Bala말 그대로 무슨 일이든 일어날 수 있다.

5. @Pgm__x정말 슬프다, 그냥 조심하자.

   Bala그러게 말이다.