2026년에 여섯 개 하드웨어 월렛 브랜드가 보안 문제를 공개했으나, 사용자들이 실제로 암호화폐를 잃은 경우는 두 건뿐이었습니다. 가장 최근 사례는 레저(LEDGER)에서 발생했으며, 구매자에게 전달되기 전에 장치가 변조되었습니다.
하드웨어 월렛은 사용자의 암호화폐를 통제하는 24개의 비밀 복구 단어를 인터넷과 분리시켜 보관합니다. 올해 공격자들은 이 복구 단어와 관련된 거의 모든 연결고리를 노렸습니다.
약한 키, 레이저, 데이터 유출, 2026년 월렛 제조사를 강타했습니다
7월 30일, 도둑들이 무작위성이 약한 키로 생성된 콜드카드(Coldcard) 월렛에서 자산을 빼내기 시작했습니다. 갤럭시 리서치(Galaxy Research)는 이후 콜드카드 손실이 1억 1,500만 달러를 넘었다고 밝혔습니다.
레저의 사내 보안팀은 6월에 트레저(Trezor) 세이프 7, 7월에 탕엠(Tangem) 카드의 칩을 레이저로 손상시켰습니다. 두 공격 모두 장치를 직접 확보해야 하며, 전문 실험실 장비가 필요합니다.
트레저는 사용자 자산이 안전하게 보호되었다고 밝혔습니다. 탕엠은 일반 사용자에게 위험이 “사실상 존재하지 않는다”고 했으며, 해당 연구자들이 경쟁사 소속임을 언급했습니다.
8월에는 비트박스(BitBox)가 엔지니어들이 심각하다고 평가한 여러 펌웨어 결함을 수정했습니다. 도난 자산은 없었다고 보고했습니다.
다른 사고는 키가 아닌 고객 정보를 노출했습니다. 트레저의 배송 파트너는 13,689명의 구매자 개인정보를 유출했고, 세이프팔(SafePal)의 데이터 유출로 거의 4만 건의 자택 주소가 노출되었습니다.
“2026년은 하드웨어 월렛 보안 측면에서 가장 혼란스러운 해로 기록될 수 있습니다.” – 와이즈어드바이스(Wise Advice) SNS 계정
레저 변조 월렛, 아시아를 넘어 보고됨
레저는 토요일 한 피해자의 장치에서 무단 하드웨어 삽입물이 발견되었다고 확인했습니다. 일요일 업데이트에서는 모든 확인된 사례가 말레이시아 리셀러 크립토빌리스(CryptoBilis)와 관련이 있다고 밝혔습니다.
온체인 조사관들은 손실 금액이 약 9,000만 달러에 달한다고 추정합니다. 한 구매자는 설정 후 며칠 만에 80비트코인을 잃었습니다. 레저는 전체 피해 규모를 공식적으로 확인하지 않았습니다.
크립토빌리스는 하드웨어 월렛 판매를 중단했습니다. 전 공동 창립자들은 링크드인(LinkedIn)에서 3월에 회사를 새 소유주에게 넘겼다고 밝혔습니다.
별도로 일부 사용자들은 유럽 공식 매장에서 몇 주 전 구매했다고 주장한 레저 월렛에 정품 제품에서는 없는 내부 결선이 있었다고 보고했습니다. 레저는 크립토빌리스 이외의 사례는 공식적으로 확인하지 않았습니다.
월렛 제조사들이 구매자에게 안내하는 사항
레저는 구매자들에게 공식 레저 또는 공인 리셀러만을 통해 제품을 구매하라고 권고합니다. 크립토빌리스 구매자들에게는 미사용 장치를 설정하지 말고, 자금을 새로운 복구 단어로 옮기라고 안내했습니다.
레저의 진품 확인(Genuine Check) 기능은 장치의 보안 칩 정품 여부를 확인해줍니다. 그러나 모든 물리적 변조까지는 탐지할 수 없습니다.
비트박스는 사용자에게 업데이트 설치와 복구 단어는 반드시 기기에서 입력하라고 강조합니다. 트레저는 피싱이 일상적으로 더 큰 위험이라고 설명합니다.
레저는 다른 하드웨어 월렛 제조사들에게도 공동 위변조 방지 및 이력 관리 기준 마련을 촉구하고 있습니다.
2026년에 안전한 하드웨어 월렛이 존재합니까? 올해 실제로 실험실 외부에서 보안 칩이 크랙된 사례는 없었으나, 콜드카드와 레저 사용자는 여전히 약한 키와 변조된 기기로 인해 자산을 잃었습니다.
