한 딜러가 벌인 구멍: 100달러의 책임 한도로는 9000만 달러의 손실을 메울 수 없다

10월 13일 오전, 레저(Ledger)는 이번 사태 발생 이후 지금까지 발표된 공식 성명 중 가장 분량이 많은 보도자료를 게재했다. 작성자는 구위위안(구욱)이다. 레저 도존(Ledger Donjon) 보안 팀은 이번 공격 경로를 부품 단위까지 세밀하게 분석해 처음으로 공개했는데, 공격자가 장치 외장 케이스 내부에 은닉한 특수 모듈이 화면에 표시되는 데이터를 ‘읽어들인다’는 사실을 밝혔다. 장치 초기화 과정에서 화면에 24단어의 복구 문구(마스터키)가 나타나는데, 이 모듈은 해당 화면을 인식한 후 마이크로컨트롤러로 해독을 위임하고, 미리 설정된 eSIM을 통해 LTE 네트워크를 거쳐 정보를 외부로 전송한다. 특히 주목할 만한 점은, 이 은닉 모듈이 독립된 부품일 뿐만 아니라, 보안 칩(Secure Element)을 수정하지도 않고, 운영체제를 변경하지도 않으며, 거래나 서명 과정에도 전혀 개입하지 않는다는 추가 설명이다. 칩은 진품이며, 시스템은 원본 그대로이며, 모든 거래는 사용자 본인이 직접 승인한다—업계가 사용자에게 반복해서 권고해온 검증 절차를 이 제품군은 모두 통과했다. 복구 문구는 화면에 불과 수십 초간만 노출됐지만, 이미 그 순간에 복사되어 외부로 유출된 것이다.