트레저 해킹 부품 신고 — CryptoBilis 구매자는 새 시드로 옮기라는 안내

하드웨어 지갑 회사 트레저(Trezor)가 CryptoBilis에서 판 기기에 해킹용 부품이 몰래 들어 있었다는 신고를 받았어요. 2026년 3월 이후 이 리셀러에서 트레저를 샀다면, 새 기기에서 새 시드로 지갑을 만들어 자산을 옮기라고 안내했어요. 아직 돈을 잃었다는 신고는 없고, 구매자에게 새 기기나 바우처를 준다고 했어요.

트레저가 밝힌 내용

트레저는 2026년 10월 30일 공식 블로그에 보안 공지를 올렸어요. 더블록에 따르면 신고가 들어온 날은 10월 28일이에요.

신고 내용은 이래요. 2026년 8월 인도네시아 쇼핑몰 토코피디아(Tokopedia)에서 CryptoBilis를 통해 산 트레저 Safe 5 1대에 원래 없던 회로가 들어 있었어요.

• 위치: 메인보드와 화면 사이
• 구성: 추가 회로 기판, 휴대폰 통신 모듈, 안테나
• 동작: 화면에 뜨는 내용을 읽어 휴대폰 통신망으로 밖에 보낸다고 신고됐어요

여기서 말하는 하드웨어 임플란트는 제조사가 넣지 않은 부품을 유통 중에 몰래 끼워 넣은 거예요. 앱 업데이트로는 막을 수 없어요.

왜 위험한가

화면에 뜨는 내용에는 지갑 백업, 즉 복구 문구(시드)도 들어가요. 복구 문구는 지갑의 마스터 키예요. 이것만 있으면 누구든 다른 기기에서 그 지갑을 열 수 있어요.

그래서 칩이 아무리 안전해도 소용없어요. 사람이 복구 문구를 화면으로 확인하는 그 순간을 노리기 때문이에요.

아직 확인되지 않은 것

트레저는 문제의 기기를 아직 손에 넣지 못했어요. 실험실 검사도 하지 않았어요. 대신 신고자의 사진을 받고 화상 통화로 인터뷰했어요. 그 결과 신고가 믿을 만하다고 보고 먼저 경고를 냈어요.

트레저 최고고객책임자(CCO) 대니 샌더스(Danny Sanders)는 이렇게 말했어요. "확인을 기다리다 누군가 돈을 잃는 것보다 지금 알리는 게 낫다고 봤어요."

더블록에 따르면 트레저는 이 리셀러에서 팔린 고객 기기 4대를 받아 살펴봤어요. 이 4대에서는 변조 흔적을 찾지 못했어요.

다른 리셀러에서 비슷한 신고는 없다고 했어요. CryptoBilis는 2026년 10월 9일 트레저 공식 리셀러에서 빠졌어요.

렛저에 이어 두 번째

CryptoBilis는 동남아에서 하드웨어 지갑을 팔던 리셀러예요. 리셀러는 제조사 대신 제품을 파는 판매처예요.

이달 초에는 렛저(Ledger)가 같은 리셀러에서 팔린 기기에서 무단 부품을 확인했어요. 자세한 내용은 렛저 해킹 기기에서 무단 부품 확인 글에 정리해 뒀어요.

트레저는 두 사건의 공격 방식이 비슷하다고 했어요. 다만 같은 공격자인지는 확인되지 않았다고 했어요.

구분	렛저	트레저
발표 시점	2026년 10월 10일 업데이트	2026년 10월 30일 공지
부품 확인	피해자 기기 1대에서 확인	신고 1건, 실물 검사 전
자금 손실	외부 추정 8,600만 달러 이상	신고 없음
이용자 안내	새 시드의 새 기기로 이동	새 시드의 새 지갑으로 이동

렛저 피해액은 온체인 분석가들의 추정이에요. 렛저가 직접 확인한 숫자는 아니에요.

CryptoBilis에서 산 분이 할 일

트레저 공지 내용을 그대로 정리했어요. 실제 부품이 발견된 건 Safe 5지만, 안내는 이 리셀러에서 산 모든 트레저 모델에 해당해요.

2026년 3월 이후 샀다면

• 새 기기에서 새 시드로 지갑을 만들고, 자산을 그쪽으로 옮겨 보세요
• 지금 기기는 더 쓰지 마세요
• 예전 복구 문구를 다른 기기에 그대로 넣지 마세요. 문구가 이미 새 나갔을 수 있어요
• 트레저 고객지원에 연락하면 새 기기를 보내주거나, 새 기기 값을 바우처로 줘요

옮기기 전에 지갑에 든 자산이 원화로 얼마인지 코인 환율 계산기로 확인해 두면 옮긴 뒤 빠진 게 없는지 맞춰보기 쉬워요.

기기를 직접 열어보는 건 금지

트레저는 기기를 직접 검사할 확실한 방법이 없다고 했어요. 무게 차이로도 판단할 수 없어요. 걱정되면 열지 말고 고객지원에 문의해 보세요.

국내 투자자에게는

이번 신고는 동남아 리셀러 한 곳에 대한 거예요. 다른 판매처에서 비슷한 신고는 아직 없어요.

다만 동남아 여행 중에 샀거나, 해외 쇼핑몰에서 직구한 트레저라면 판매자 이름을 한 번 확인해 보세요. 주문 내역에 CryptoBilis가 있고 구매 시점이 2026년 3월 이후라면 위 안내를 따르면 돼요.

이런 사고 뒤에는 사기 연락이 따라붙기 쉬워요. "확인이 필요하다"며 복구 문구를 입력하라는 메일·문자·사이트는 모두 사기예요. 복구 문구는 누구에게도 알려주지 마세요.

정리

• 트레저가 CryptoBilis에서 산 Safe 5 1대에 통신 모듈이 든 회로가 숨겨져 있었다는 신고를 받고 경고를 냈어요.
• 실물 검사 전이고 손실 신고도 없지만, 2026년 3월 이후 이 리셀러에서 산 트레저는 모델과 상관없이 새 시드로 옮기라고 했어요.
• CryptoBilis는 10월 9일 공식 리셀러에서 빠졌고, 렛저 기기 사건과 같은 판매처예요.

내 트레저를 어디서 샀는지 주문 내역부터 확인해 보세요. CryptoBilis라면 트레저 공식 고객지원에 연락해 새 기기를 받아보세요.