레저 리셀러 사고, 주소 43곳에서 두 시간에 3,594만 USDT가 빠졌다

웨일로그 편집팀

하드웨어 지갑 제조사 레저(Ledger)가 동남아시아 리셀러 ’크립토빌리스(CryptoBillis)’에서 기기를 구입한 이용자들의 자금 유출을 조사하고 있다고 2026년 10월 9일 밤(한국시간 22시 32분) 공식 지원 계정으로 밝혔다. 피해 총액과 원인은 모두 확정되지 않았다. 웨일로그는 트론 온체인 데이터를 직접 조회해, 피해금이 흘러든 집결 주소 한 곳에 10월 9일 오후 두 시간 사이 43개 주소에서 3,593만 9,856 USDT가 들어왔고, 같은 금액이 그대로 45개 주소로 다시 빠져나간 것을 확인했다(2026년 10월 10일 오전 기준).

📌 오늘의 헤드라인 — 2026년 10월 10일 아침

이 블록은 발행일인 2026년 10월 10일 아침 기준 스냅샷입니다. 이후 시세와 상황은 달라지므로, 지난 글을 보고 계신 경우 아래 수치는 현재 값이 아닙니다. 본문 내용은 발행일 기준으로 작성됐습니다.

밤사이(한국시간 10월 9일 저녁부터 10일 아침까지) 나온 소식을 추렸다.

  • 레저가 리셀러 크립토빌리스 관련 자금 유출 조사를 공식화했다. 레저 지원 계정의 공지는 10월 9일 오후 10시 32분(KST) 게시다. 이 글의 본문 주제다.
  • 비트코인은 10월 10일 오전 9시 31분(KST) 기준 24시간 전 대비 1.01% 오른 8만 2,532.91달러였다(코인마켓캡). 같은 기준 이더리움은 0.46% 오른 2,487.99달러였다.
  • 전체 암호화폐 시가총액은 2조 7,889억 달러, 비트코인 점유율은 59.47%였다(코인마켓캡, 10월 10일 오전 9시 31분 KST 기준).
  • 미국 CFTC가 10월 9일 보도자료 2건을 냈다. 특정 이벤트 계약을 ‘스왑’ 정의에 포함하는 규정안 의견 요청(9310-26)과, 특정 활동을 스왑 정의에서 제외하는 중간최종규칙(9309-26)이다(cftc.gov 보도자료 목록 직접 확인).
  • 미 재무장관이 이란 관련 암호화폐 10억 달러 압수 방침을 언급했다는 보도가 나왔다. 미 법무부가 바이낸스 합의 이행 점검에 들어갔다는 보도도 이어졌다(블록미디어 10월 9일 오후 9시 39분·10일 오전 9시 5분 KST 기사 기준). 원문 공지는 이 글에서 확인하지 않았다.

레저가 실제로 적은 문장

사건을 과장하거나 줄여 읽지 않으려면 회사가 쓴 문장을 그대로 보는 게 빠르다. 레저 지원 계정(@Ledger_Support)의 10월 9일 공지 전문은 이렇다. 참고로 x.com 직접 접속은 이 환경에서 막혀(HTTP 402), 같은 글의 원문 텍스트를 그대로 제공하는 공개 미러 API로 전문과 게시 시각(UTC 10월 9일 13시 32분 12초)을 확인했다.

Ledger is investigating reports of loss of funds from users in South East Asia who purchased products from a reseller named CryptoBillis. As a precaution, and pending the results of our investigation, we have asked CryptoBilis to pause all sales and shipments of Ledger devices. We recommend Ledger users who purchased from this reseller in the last 90 days to not initiate set up if you have not done so yet. If you have set up your Ledger device, consider moving assets to a new Ledger signer (with new seed).

정리하면 세 가지다. ① 동남아 이용자들의 자금 유실 신고를 조사 중이고, ② 예방 조치로 해당 리셀러의 판매·배송을 중단해 달라고 요청했고, ③ 최근 90일 안에 그 리셀러에서 산 기기는 아직 초기화하지 말고, 이미 초기화했다면 새 시드로 만든 새 기기로 자산을 옮기라는 권고다.

여기서 ’초기화(set up)’는 하드웨어 지갑을 처음 켜서 시드 문구 24단어를 새로 만들어 화면에 띄우는 단계를 말한다. 지갑의 모든 열쇠가 이 24단어에서 파생되므로, 기기가 손을 탔다면 비밀이 새어 나가는 순간도 바로 이때다. 그래서 “초기화하지 말라”는 권고는 막연한 주의가 아니라 가장 위험한 단계를 멈춰 세우는 지시에 가깝다. 시드 문구가 무엇이고 왜 이것만 지키면 되는지는 시드 문구 12단어 보관법에 정리해 두었다.

7,001,000 USDT: 9월에 쌓고 10월 9일 오후에 사라졌다

온체인 추적팀 룩온체인(Lookonchain)은 10월 10일 오전 0시 33분(KST) 게시물에서 피해 규모가 9,000만 달러에 가깝다고 적고, 가장 큰 피해자로 보이는 트론 주소 하나(TY24Ya7z1zHn4Br38SgwSxdvcbD9syWg6D)를 공개했다. 웨일로그는 이 주소를 트론 공개 노드 API(TronGrid)로 직접 조회했다. 입출금 기록은 이렇게 남아 있다.

  • 9월 16일 오전 5시 7분(KST) 1,000 USDT — 금액이 작은 첫 입금이다
  • 9월 16일 오전 5시 11분 50만 USDT
  • 9월 16일 오전 5시 18분 250만 USDT
  • 9월 16일 오전 5시 19분 200만 USDT
  • 9월 25일 오후 7시 4분 100만 USDT
  • 9월 30일 오전 0시 35분 100만 USDT
  • 10월 9일 오후 2시 7분 7,001,000 USDT 전액 출금(트랜잭션 b3b10b86…, 수취 주소 TK6DWN…)

입금 6건은 모두 같은 주소 한 곳에서 들어왔고, 합계가 7,001,000 USDT다. 첫 입금이 1,000 USDT였다는 점은 새 지갑을 쓸 때 소액으로 먼저 시험 송금해 보는 흔한 습관과 들어맞는다. 문제는 그 시험이 걸러낼 수 있는 위험이 아니었다는 것이다. 주소가 맞는지, 수신이 되는지는 확인되지만 시드 문구가 이미 제3자에게 알려져 있는지는 소액 송금으로 확인할 방법이 없다. 같은 트랜잭션 묶음에서 다른 주소(TAzdU79X…)에 대한 무제한 승인(Approval) 기록도 함께 남았는데, 그것이 유출 수단이었는지는 확인되지 않았다.

집결 주소 한 곳: 두 시간, 43개 주소, 3,594만 USDT

빠져나간 돈이 들어간 주소(TK6DWNpNe1w2iJRNFpU8aHdrPTATxvXT6C)를 다시 조회하니, 이 주소는 한 사람의 피해금만 받은 곳이 아니었다. 웨일로그가 TronGrid로 이 주소의 USDT 전송 기록 전부를 집계한 결과는 다음과 같다.

  • 유입: 43개 주소에서 합계 3,593만 9,856 USDT. 10월 2일 오후 6시 20분에 3 USDT가 한 번 들어온 것을 빼면, 나머지 전액이 10월 9일 오후 2시 7분부터 4시 1분까지 두 시간 안에 몰려 들어왔다.
  • 유출: 45개 주소로 합계 3,593만 9,856 USDT. 유입액과 1 USDT도 차이 없이 전액이 다시 나갔다. 10월 9일 오후 4시 14분부터 50만 USDT씩 20여 차례 쪼개 보내는 패턴이 이어졌고, 오후 7시 6분에는 1,000만 USDT가 한 주소로 한 번에 나갔다.
  • 현재 잔액: 0 USDT(2026년 10월 10일 오전 기준 조회).

이 집계에서 가장 눈에 띄는 것은 두 시간이라는 폭이다. 기기를 산 시점은 피해자마다 다르다. 룩온체인이 지목한 피해자는 3주 전에 기기를 샀고, 입금은 9월 16일부터 쌓았다. 그런데 돈이 빠진 시각은 피해자별로 흩어지지 않고 10월 9일 오후에 한데 모여 있다. 즉 열쇠는 몇 주에 걸쳐 모아 두고, 꺼내는 일은 한꺼번에 처리한 셈이다. 다만 유입 43건 전부가 이번 사건 피해금이라고 단정할 근거는 없다. 확인된 것은 룩온체인이 지목한 피해 주소가 이 집결 주소의 최대 유입원(7,001,000 USDT)이라는 사실까지다.

지갑을 ’물리적으로 안전한 기기’로만 이해하면 이 사건이 이해되지 않는다. 하드웨어 지갑은 열쇠를 인터넷에서 떼어 놓는 장치이지, 열쇠를 처음 만드는 과정이 정직했는지 보증하는 장치가 아니다. 이번 사건의 의심 경로는 기기를 만든 회사도, 쓰는 사람의 컴퓨터도 아니라 그 사이 유통 단계다. 이렇게 제품이 사용자에게 도달하기 전 중간 단계에서 손을 타는 공격을 공급망 공격이라고 부른다. 핫월렛과 콜드월렛의 차이가 무엇을 막아 주고 무엇을 못 막는지는 핫월렛 vs 콜드월렛에서 다룬 바 있다.

테더가 동결했다는 주소를 열어 보니

“테더가 관련 USDT를 동결했다”는 보도가 10월 9일 밤부터 나왔다. 동결은 USDT 발행사 테더가 특정 주소를 차단 목록(blacklist)에 올려 그 주소에서 USDT가 더 움직이지 못하게 만드는 조치다. 웨일로그는 트론 USDT 계약(TR7NHqje…)의 isBlackListed 함수를 직접 호출해 집결 주소에서 돈을 받은 주소 3곳을 조회했다(10월 10일 오전 기준).

  • TPZwqN2…(10월 9일 오후 7시 6분에 1,000만 USDT 수취): 차단 목록 등재 확인. 잔액 0 USDT.
  • TMndpHY…(같은 날 오후 4시 57분에 50만 USDT 수취): 차단 목록 등재 확인. 잔액 0 USDT.
  • TLn8gUh…(200만 USDT 수취): 차단 목록에 없음. 잔액 0 USDT.

등재가 확인된 두 주소의 전송 기록을 다시 보면, TPZwqN2…는 10월 9일 오후 7시 17분부터 8시 37분까지 USDT를 모두 내보냈고 TMndpHY…도 같은 날 오후 7시 41분에 50만 USDT를 내보냈다. 즉 동결 표시가 켜진 두 주소는 조회 시점에 이미 비어 있었다. 차단 목록 등재 시각은 이번에 확인하지 못했고, 잔액 0이 된 이유(동결 전에 자금이 다음 단계로 넘어간 것인지, 테더가 별도 조치를 취한 것인지)도 확인되지 않았다.

이 대목은 동결 뉴스를 읽는 법에 그대로 적용된다. 동결은 조치 시점에 그 주소에 남아 있는 USDT에만 걸린다. 50만 달러 단위로 쪼개 수십 개 주소로 흩뿌리는 속도가 조치 속도보다 빠르면, 동결은 빈 주소에 자물쇠를 거는 일이 된다. 지난 9월 앱 지갑에서 XRP가 빠져나간 디센트 사고 때와 마찬가지로, 사고 직후의 ’조치했다’는 발표와 ’회수했다’는 결과는 전혀 다른 말이다.

아직 확인되지 않은 것

빈칸을 추측으로 메우지 않기 위해 분명히 적어 둔다.

원인이다. 레저는 자사 인프라·시스템·서비스가 침해된 것은 아니고 레저에서 직접 구매한 제품에 대한 신고는 없다고 밝힌 것으로 보도됐다. 기기에 심어진 장치가 시드를 읽었다는 주장, 시드가 미리 주입된 기기가 배포됐다는 주장이 보도에 등장하지만 공개적으로 입증된 것은 없다. 레저도 조사 중이라고만 밝혔다.

총 피해액이다. 집계마다 다르다. 10월 9~10일 보도를 기준으로 온체인 조사자 스펙터는 98개 주소에서 8,600만 달러 이상, 미스트트랙은 9,000만 달러에 가깝다고 추정했고, 7,200만 달러 이상으로 집계한 쪽도 있다. 웨일로그가 직접 확인한 수치는 집결 주소 한 곳을 지나간 3,593만 9,856 USDT와 그중 최대 피해 주소 한 곳의 7,001,000 USDT까지다. 트론 외 체인(비트코인·이더리움)으로 흘러간 금액은 이번에 직접 집계하지 않았다.

리셀러 쪽 설명이다. 크립토빌리스의 공식 입장은 확인되지 않았다. 레저가 요청한 판매·배송 중단이 실제로 이행됐는지도 공지만으로는 알 수 없다.

앞으로 확인할 일정과 관전 포인트

  • 레저의 후속 공지. 회사는 조사 진행에 따라 계속 알리겠다고 했다. 다음 공지에서 확인할 것은 원인 특정 여부, 영향 범위(해당 리셀러 외 채널 포함 여부), 그리고 보상 또는 교체 정책이다.
  • 기기 교체 권고의 범위. 현재 권고는 ’최근 90일 내 해당 리셀러 구매분’이다. 90일보다 앞선 구매분이나 다른 리셀러로 범위가 넓어지는지 지켜볼 지점이다.
  • 차단 목록의 추가 등재. 테더의 동결은 주소 단위로 켜진다. 등재 주소가 늘어나는지, 그리고 그 주소에 잔액이 남아 있는 상태에서 등재되는지는 누구나 USDT 계약의 isBlackListed 조회로 직접 확인할 수 있다.
  • 같은 유형의 재발 여부. 2026년에는 8월에도 하드웨어 지갑 관련 대형 피해 보도가 있었고, 당시 피해 추정액은 보도에 따라 8,800만 달러에서 1억 1,600만 달러까지 엇갈렸다. 기기 자체의 결함이든 유통 경로의 문제든, ’어디서 샀는지’가 보안 변수로 반복 등장하고 있다는 점이 이번 사건의 공통분모다.
  • 구매 경로 확인. 지금 지갑을 쓰고 있다면 영수증과 구매처를 한 번 열어 보는 것으로 시작할 수 있다. 공식 스토어 또는 제조사가 인증한 채널에서 직접 받은 기기인지, 중간 판매자를 거쳤는지에 따라 이번 권고의 적용 여부가 갈린다.

이 글은 정보 제공 목적으로 작성되었으며 투자 권유가 아닙니다. 투자 판단과 책임은 본인에게 있습니다.