트레저, 구매자 48명 연락받아…세이프 5 3대 변조 확인

트레저는 말레이시아 재판매업체 크립토빌리스를 통해 판매된 세이프 5(Safe 5) 3대에서 복구 문구를 수집할 수 있는 부품을 확인했다. 회사는 공급망 기준을 강화하면서 재판매업체망도 약 80% 줄였다.

트레저는 12일 공개한 조사 결과에서 크립토빌리스 구매자 48명에게 연락을 받았다고 밝혔다. 연락한 구매자 수와 부품이 확인된 기기 수는 서로 다른 집계다.

부품이 확인된 세 기기는 올해 8월 20일부터 9월 23일 사이 크립토빌리스 온라인 매장이나 직접 판매 경로를 통해 구매됐다. 세 기기 모두 세이프 5 모델이다.

트레저 연구실은 처음 신고된 기기 한 대를 직접 검사했다. 나머지 두 대는 소유자가 보낸 내부 사진으로 판별했다. 회사는 조사한 다른 기기와 다른 재판매업체의 제품에서는 변조 흔적을 찾지 못했다고 밝혔다.

현재까지 해당 기기 소유자들은 자금 손실을 신고하지 않았다. 트레저는 조사 결과에서도 피해 신고가 없다고 밝혔다.

이상 부품은 세이프 5의 주회로기판과 화면 사이에 추가로 설치된 회로기판이다. 트레저의 분석에 따르면 이 부품은 화면에 표시되는 내용과 기기에 입력되는 내용을 복사한다.

복구 문구나 암호문구를 포착하면 데이터를 암호화해 이동통신망으로 공격자가 통제하는 서버에 전송하는 방식이다. 트레저는 기기의 펌웨어나 보안 칩 자체가 변경된 것은 아니라고 설명했다.

트레저는 11일 펌웨어 2.13.1을 배포해 확인된 부품이 정보를 수집하지 못하도록 했다고 밝혔다. 화면으로 전송되는 명령의 순서를 바꿔 부품이 복구 문구를 감지하는 동작을 막았으며, 화면 표시에는 영향이 없다는 설명이다.

다만 펌웨어 업데이트는 이미 수집됐을 수 있는 지갑 백업을 보호하지 못한다. 트레저는 크립토빌리스 구매자에게 새 복구 문구로 만든 지갑으로 자산을 옮기라는 안내를 유지했다.

본지는 앞서 세이프 5 변조 확인과 구매자에 대한 자금 이전 권고를 전했다. 이번 발표에서는 연락을 받은 구매자 수와 기기별 판별 방식 등 조사 결과가 추가로 공개됐다.

재판매업체망 축소는 기기 조달과 보관, 제품에 접근할 수 있는 사람에 대한 기준을 강화하면서 이뤄졌다. 트레저는 새 기준을 충족한 업체가 전체의 약 20%였다고 밝혔다.

제외된 업체들은 신뢰할 만했고 즉각적인 위협을 제기하지도 않았지만, 강화된 기준에는 맞지 않았다고 트레저는 설명했다. 회사는 공급망 위험을 줄이기 위해 남은 판매업체에 같은 기준을 적용할 방침이다.

트레저는 올해 3월 이후 크립토빌리스에서 자사 기기를 산 고객에게 교체 기기를 제공하겠다고 밝혔다. 국가별 배송 제한에 따라 다른 모델과 차액 환급, 다른 국가 주소로의 배송 또는 환불이 제시될 수 있다.

회사는 조사를 계속하고, 다른 판매처나 모델에서 부품이 확인되거나 관련 자금 손실이 신고되면 조사 공지를 갱신할 예정이다.