Ledger 지갑 eSIM 해킹 논란: 복구 문구 탈취 수법과 대처법

Ledger 지갑 eSIM 탈취 사건, 무슨 일이 있었나?

보안 연구진은 내부에 추가 부품이 심어진 Ledger Nano X 변조 기기를 공개했습니다. 겉보기에는 정품 지갑이지만, 내부 임플란트가 초기 설정 과정에서 보안 칩과 OLED 화면 사이를 오가는 데이터를 엿듣는 방식입니다. 이때 화면에는 사용자의 24개 복구 단어가 표시됩니다.

숨겨진 기판은 화면 데이터를 바탕으로 복구 단어를 재구성하고 저장한 뒤, 이동통신망을 통해 공격자에게 보낼 수 있습니다. 후속 버전에는 모뎀과 안테나, 내장 SIM까지 포함된 것으로 전해졌습니다. 즉, eSIM은 탈취 데이터를 외부로 보내는 통신 수단이며 Ledger의 정상 기능이 아닙니다.

Ledger는 2026년 10월 9일, 동남아시아 일부 지역에서 영업하는 공인 리셀러 CryptoBilis를 통해 판매된 기기와 관련된 자금 도난 신고를 조사 중이라고 밝혔습니다. 회사는 해당 판매처에 판매와 배송 중단을 요청했습니다. 당시 Ledger 공식 판매처에서 직접 산 기기와 관련된 신고는 접수되지 않았다고도 설명했습니다.

정품 하드웨어 지갑도 변조될 수 있는 이유

하드웨어 지갑은 일반적으로 개인 키를 보안성이 강화된 시큐어 엘리먼트 안에 보관합니다. 이 칩은 비밀 정보를 외부로 내보내지 않은 채 키를 만들고 거래에 서명할 수 있습니다. 다만 초기 설정 때는 복구 단어를 한 번 화면에 보여줘야 하므로, 화면 표시용 데이터가 내부 연결부를 지나갑니다.

이번에 보고된 임플란트는 시큐어 엘리먼트를 뚫는 대신 바로 이 경로를 노립니다. Tibane Labs는 여러 세대의 변조 기기를 분석했습니다. 초기형은 눈에 띄는 전선과 더 작은 교체 배터리를 사용했지만, 최신형은 맞춤형 플렉시블 회로기판과 외관에 맞춘 코팅, 지워진 부품 표기, 화면 아래 숨긴 이동통신 부품까지 갖춘 것으로 설명됩니다.

이 공격이 특히 위험한 이유는 평소의 점검 절차를 통과한 것처럼 보일 수 있기 때문입니다.

• 시큐어 엘리먼트 자체는 정품일 수 있어 소프트웨어 정품 인증을 통과할 수 있습니다.
• 기기가 정상적으로 초기화되고 충전되며, 연결과 거래 서명도 문제없이 작동할 수 있습니다.
• 포장이나 외부 케이스에 뚜렷한 훼손 흔적이 없을 수 있습니다.
• 임플란트에 독립적인 이동통신 연결이 있어 피해자의 스마트폰이나 Wi-Fi가 필요하지 않습니다.

이번 공격에서 eSIM이 한 일과 하지 않은 일

‘eSIM 암호화폐 탈취’라는 표현만 보면 eSIM 자체가 복구 문구를 훔친 것처럼 오해하기 쉽습니다. 그러나 이번 사례에서 내장 SIM은 불법 감시 장비의 한 부품으로 보입니다. LTE, LTE-M 또는 NB-IoT 망을 이용해 임플란트가 수집한 정보를 조용히 전송하는 역할입니다.

이는 유심 스와핑과도 다릅니다. 유심 스와핑은 범죄자가 피해자의 휴대전화 번호를 탈취해 통화나 문자 인증 코드를 가로채는 공격입니다. 반면 이번의 숨겨진 eSIM은 지갑 소유자의 회선을 바꾸지 않습니다. 임플란트가 자체적으로 쓰는 별도 통신 회선입니다.

위험한 여행용 eSIM 앱이나 프로파일, 프록시 서비스와 관련된 문제도 별개의 위협입니다. 이 유형이 궁금하다면 무료 eSIM 프록시의 코드 탈취 위험 가이드를 참고하세요.

지금 바로 대응해야 하는 사람

가장 명확한 공식 경고 대상은 최근 CryptoBilis에서 제품을 구매한 고객입니다. Ledger가 지정한 90일 기간 안에 해당 리셀러에서 기기를 산 사람은 초기 설정을 하지 말라는 안내를 받았습니다. 이미 설정했다면 새 기기에서 완전히 새로운 복구 문구를 만든 뒤 자산을 옮기라는 권고가 나왔습니다.

오픈마켓 판매자, 출처가 불분명한 수입업자, 소유 관계가 명확하지 않은 리셀러 또는 중고 거래로 지갑을 샀다면 주의가 필요합니다. 연구진은 일본의 대형 온라인 마켓을 포함한 제3자 유통 경로에서 최신형 임플란트 표본을 확보했습니다. 다만 이 표본이 CryptoBilis에서 유통됐다고 확인된 것은 아닙니다.

내 Ledger가 의심될 때 해야 할 일

구매 경로가 공식 경고 조건과 일치하거나 물리적 변조를 의심할 만한 근거가 있다면, 해당 기기에 표시된 복구 문구가 이미 노출됐을 가능성을 전제로 대응해야 합니다. 같은 지갑을 초기화한 뒤 기존 단어를 다시 쓰는 방식으로는 문제가 해결되지 않습니다.

1. 의심 기기 사용을 즉시 중단합니다. 새로 초기화하거나, 기존 문구를 복원하거나, 추가 거래를 승인하지 마세요.
2. 신뢰할 수 있는 교체 기기를 준비합니다. 제조사에서 직접 구매하거나 Ledger의 공식 교체 절차를 따르세요.
3. 안전한 기기에서 완전히 새로운 복구 문구를 생성합니다. 기존 문구를 가져오지 마세요.
4. 자산을 신중하게 이전합니다. 먼저 소액을 시험 전송하고, 새 기기 화면에서 주소를 확인한 뒤 나머지를 옮기세요.
5. 증거를 보존합니다. 지갑과 상자, 영수증, 판매자 정보, 일련번호, 배송 기록을 그대로 보관하세요.
6. Ledger 공식 지원팀에 문의합니다. 공식 지원 사이트를 직접 이용하고, 모르는 사람이 보낸 링크는 열지 마세요.
7. 도난이 발생했다면 빠르게 신고합니다. 관련 거래소와 관할 사이버수사 기관, 전문 블록체인 조사 업체에 즉시 연락하세요.

집에서 숨겨진 임플란트를 찾을 수 있을까?

확실하게 판별하기는 어렵습니다. 초기 버전은 배터리가 교체돼 있었고 수작업으로 납땜한 전선이 눈에 띄었습니다. 하지만 가장 최근에 공개된 표본은 원래 배터리를 유지하면서 검은색 코팅을 입힌 플렉시블 회로를 화면 아래에 숨긴 것으로 전해졌습니다. 케이스를 연 뒤에야 가느다란 안테나 선이 몇 안 되는 단서로 발견됐습니다.

지갑을 직접 분해하면 기기가 손상되거나 증거가 훼손될 수 있습니다. 배터리 사고 위험도 있으며, 고객지원이나 보증 절차가 복잡해질 수 있습니다. 외관과 포장이 정상이고 정품 기기 검사를 통과했더라도, 정품 시큐어 엘리먼트 주변에 추가된 부품까지 배제할 수는 없습니다.

이번 사건으로 여행용 eSIM도 위험해졌나?

그렇지 않습니다. 소비자용 여행 eSIM은 호환 스마트폰에 설치하는 디지털 이동통신 요금제입니다. 이번 사례의 악성 부품은 허가 없이 추가된 하드웨어에 납땜된 내장 SIM입니다. 두 기술은 이동통신 연결 규격을 공유하지만 목적과 위험 구조가 전혀 다릅니다.

해외여행용 데이터를 고를 때는 알려진 사업자를 이용하고, 공식 안내에 따라 프로파일을 설치하세요. 사업자 계정에는 강력한 인증 수단을 적용해야 합니다. 지갑 복구 단어를 요구하는 서비스는 즉시 피하세요. 정상적인 여행 통신 업체가 암호화폐 시드 문구를 요구할 이유는 없습니다.

아래에서 검증된 eSIM 사업자와 여행용 데이터 옵션을 비교할 수 있습니다. 다만 이 비교는 하드웨어 지갑의 안전 점검을 대신하지 않습니다.

하드웨어 지갑 보안 기준은 어떻게 달라져야 하나?

이번 사건의 핵심 교훈은 ‘정품 칩’이 반드시 ‘변조되지 않은 기기’를 뜻하지는 않는다는 점입니다. 시큐어 엘리먼트는 여전히 중요한 보안 장치입니다. 그러나 실제 제품은 화면과 전원선, 버튼, 통신 버스, 유통망까지 포함한 하나의 물리 시스템입니다.

가능하면 제조사에서 직접 구매하세요. 복구 문구는 신뢰할 수 있는 하드웨어에서만 생성하고 오프라인으로 보관해야 합니다. 거래할 때마다 기기 화면에 표시된 주소와 금액을 확인하세요. 보유 자산이 크다면 서로 다른 경로에서 구매한 지갑으로 위험을 나누거나, 신중하게 설계된 다중서명 방식을 검토할 수 있습니다.

아직 밝혀지지 않은 부분도 구분해야 합니다. 연구진은 실제로 작동하는 이동통신 임플란트와 갈수록 정교해지는 설계를 공개했습니다. Ledger도 리셀러 판매 제품과 관련된 도난 신고를 인정했습니다. 그러나 전체 유통 경로와 피해 지갑 수, 최종 피해액은 공개된 증거만으로 확정되지 않았습니다.

자주 묻는 질문

Ledger가 Nano X에 eSIM을 넣은 건가요?

아닙니다. 보고된 eSIM은 정품 Nano X 내부에 무단으로 추가된 임플란트의 일부입니다. Ledger 지갑의 기본 기능이 아닙니다.

임플란트가 Ledger 정품 기기 검사를 통과할 수 있나요?

연구진에 따르면 그럴 수 있습니다. 시큐어 엘리먼트는 정품으로 남겨두고, 임플란트가 보안 칩을 교체하는 대신 화면 연결부를 감시하기 때문입니다.

인터넷에 연결하지 않아도 복구 문구가 유출될 수 있나요?

보고된 임플란트에는 자체 이동통신 모뎀과 안테나, 내장 SIM이 포함돼 있습니다. 따라서 소유자의 스마트폰이나 Wi-Fi, 컴퓨터 연결을 이용하지 않고도 수집한 단어를 전송할 수 있습니다.

모든 Ledger 사용자가 지금 당장 암호화폐를 옮겨야 하나요?

모든 기기를 대상으로 한 일괄 경고는 나오지 않았습니다. Ledger의 리셀러 경고 대상 고객과 구매 경로 또는 물리적 변조를 의심할 만한 구체적인 근거가 있는 사용자가 우선 대응해야 합니다.

의심되는 지갑을 초기화하면 안전해지나요?

아닙니다. 기존 복구 문구가 이미 탈취됐다면 같은 기기를 초기화해도 그 단어가 다시 비밀이 되지는 않습니다. 신뢰할 수 있는 하드웨어에서 새 복구 문구를 만들고, 그 문구로 생성된 새 주소로 자산을 옮겨야 합니다.