하드웨어 지갑 업체 레저(Ledger)가 인도네시아·말레이시아·필리핀 공식 판매업체로 등록된 크립토빌리스(CryptoBilis) 구매자들의 자금 유출 사건과 관련해, 기기에 삽입된 무단 부품의 작동 방식을 10월 13일 공개했다. 레저는 10월 9일 조사 사실을 알렸고, 다음 날 피해 이용자 한 명의 기기에서 해당 부품을 확인했다.
부품은 초기 설정 화면에 표시되는 24개 단어의 복구 문구를 읽어, 사전 설정된 eSIM으로 LTE 이동통신망에 전송한다. 보안칩과 운영체제, 거래 내용과 서명은 변경하지 않는다고 레저는 설명했다. 복구 문구를 확보한 공격자는 다른 기기에서 지갑을 복원해 원래 기기 없이도 자금을 옮길 수 있다.
레저는 이를 물리적 공급망 공격으로 규정하고, 자사 내부 시스템이 침해된 정황은 없다고 밝혔다. 현재까지 확인한 자금 유출은 모두 크립토빌리스 판매 기기와 관련됐으며, 다른 판매처의 무단 부품 제보도 조사 중이다. 별도로 메디아마르크트자툰(MediaMarktSaturn)은 독일 고객의 부품 신고 이후 10월 13일 매장·온라인 판매를 중단했다. 해당 독일 사례에서는 자금 손실이 보고되지 않았다.
레저는 크립토빌리스에서 산 미설정 기기는 사용하지 말고, 이미 사용했다면 새 기기에서 새 복구 문구를 생성해 자산을 옮기라고 안내했다. 기기가 어느 유통 단계에서 조작됐는지도 조사 중이다.