레저 "탱젬 지갑, 레이저 공격에 비밀번호 우회 취약점"

Ledger의 보안 연구팀 ‘레저 돈jon(Ledger Donjon)’이 탱젬(Tangem) 하드웨어 월렛에서 ‘레이저 펄스’로 비밀번호 검증을 우회할 수 있는 취약점을 발견했다고 밝혔다. 이번 결함은 원격 해킹이 아니라 카드 실물에 직접 접근해야 한다는 점에서 범위는 제한적이지만, 하드웨어 지갑 보안의 약점을 다시 드러냈다.

‘Laser Fault Injection’으로 검증 과정 교란

최근 공개된 보안 공지에 따르면 공격자는 탱젬 카드의 외부 케이스를 화학 용매나 정밀 도구로 제거해 내부 실리콘 칩을 노출시킨 뒤, 프로브로 전자기 변화를 읽어 비밀번호 처리 시점을 파악할 수 있다. 이후 문제의 순간에 레이저를 쏘는 방식으로 카드의 검증 절차를 교란해 지갑 접근 권한을 얻는 구조다. 레저는 이를 ‘Laser Fault Injection(LFI)’ 공격으로 설명했다.

당장 보고된 피해 사례는 없다. 탱젬 측과 연구진 모두 이 공격이 매우 드물다고 본다. 레이저 장비 가격만 약 25만달러에 달하고, 공격을 위해서는 반드시 카드 실물을 확보해야 하기 때문이다. 원거리에서 시도할 수 있는 방식도 아니다.

“국가급 자원 가진 공격자 가능성 높아”

레저 돈jon은 이 같은 공격이 주로 국가 지원 해커나 법집행기관, 자금력이 큰 범죄조직에 의해 이뤄질 가능성이 높다고 봤다. 피해자의 자산 규모를 충분히 파악한 뒤, 비용이 큰 물리적 침투를 감행할 수 있다는 설명이다. 아르쿨루스(Arculus)와 사이퍼록 X1(Cypherock X1) 같은 유사 제품은 아직 같은 취약점이 보고되지 않았지만, 칩 기반 카드가 본질적으로 LFI에 노출될 수 있다는 점은 동일하다.

이런 가운데 카드 분실이나 훼손이 발생한 이용자는 반드시 백업 카드를 활용해 자산을 옮겨야 한다. 탱젬 카드는 보통 3장 세트로 제공되는 만큼, 백업 수단을 미리 확보해 두는 것이 중요하다. 하드웨어 월렛의 장점이 ‘오프라인 보관’에 있는 만큼, 이번 사례는 물리 보안과 백업 관리가 결국 자산 보호의 핵심이라는 점을 보여준다.

---

기사요약 by TokenPost.ai 🔎 시장 해석 이번 취약점은 원격 해킹이 아닌 ‘물리 공격’이지만, 하드웨어 지갑 역시 완전히 안전하지 않다는 점을 다시 확인시켰다. 특히 칩 기반 카드형 지갑은 고가 장비를 동원한 공격에 구조적으로 노출될 수 있어, 기관급 공격자 리스크가 부각됐다. 💡 전략 포인트 카드 분실 방지가 가장 핵심이며, 의심 상황 발생 시 즉시 백업 카드로 자산 이동 필요. 고액 자산 보유자는 단일 지갑 의존보다 분산 보관 전략 고려. 물리 보안(보관 위치·접근 통제)이 디지털 보안만큼 중요. 📘 용어정리 LFI(Laser Fault Injection): 레이저로 칩의 동작 타이밍에 오류를 발생시켜 보안 검증을 우회하는 물리 해킹 기법. 하드웨어 월렛: 인터넷과 분리된 상태에서 개인 키를 저장하는 암호화폐 지갑. 물리 공격: 해킹 대상 장치를 직접 확보해 내부를 분석·조작하는 방식의 공격.

💡 자주 묻는 질문 (FAQ)

Q. 이번 취약점, 일반 사용자도 크게 걱정해야 하나요? 현실적으로는 위험도가 낮은 편입니다. 이 공격은 약 25만달러 수준의 장비와 높은 기술력, 그리고 실제 카드 확보가 모두 필요하기 때문에 일반적인 해커가 원격으로 실행하는 것은 불가능합니다. 다만, 고액 자산 보유자는 물리 보안까지 신경 써야 한다는 점은 중요합니다. Q. 레이저 공격으로 실제로 비밀번호 없이 지갑 접근이 가능한가요? 가능합니다. 공격자는 칩이 비밀번호를 검증하는 순간을 포착한 뒤 레이저로 오류를 주입해 검증을 통과시키는 방식으로 접근 권한을 획득할 수 있습니다. 이는 소프트웨어가 아닌 하드웨어 동작 자체를 교란하는 방식입니다. Q. Tangem 사용자라면 지금 무엇을 해야 하나요? 가장 중요한 것은 카드 실물 관리입니다. 분실하거나 타인에게 노출되지 않도록 해야 하며, 이상 징후가 있을 경우 백업 카드로 자산을 즉시 이동하는 것이 좋습니다. 하드웨어 지갑이라도 물리적 보안이 핵심이라는 점을 인식해야 합니다. TP AI 유의사항 TokenPost.ai 기반 언어 모델을 사용하여 기사를 요약했습니다. 본문의 주요 내용이 제외되거나 사실과 다를 수 있습니다.