하드웨어 지갑 업체 **레저(Ledger)**가 2023년 12월 발생한 보안 사고와 관련해 최소 5억 달러(약 6,800억 원)의 손해배상을 요구하는 집단소송에 휘말렸다. 소장을 낸 고객은 190만 달러 상당의 자산 탈취를 이 사고의 여파로 보고 있다.
핵심 내용
- 고객 더글라스 킴(Douglas Kim)은 8월 27일 미국 뉴욕 남부연방지방법원에 레저를 상대로 최소 5억 달러 규모의 집단소송을 제기했다.
- 소장은 2023년 12월 ‘커넥트 키트(Connect Kit)’ 계정 탈취를, 2025년 2월 발생한 1,948,074달러 규모 피싱 피해의 배경으로 지목했다.
- 레저는 지금까지 약 700만 대의 지갑을 판매했으며, 원고 측은 이 가운데 3%인 약 21만 명이 피해를 입었을 것으로 추산했다.
“커넥트 키트 해킹이 사기 피해로 이어졌다”
더글라스 킴은 8월 27일, 미국 뉴욕 남부연방지방법원에 프랑스 법인인 레저 SAS를 단독 피고로 하는 소장을 제출했다. 로펌 Ervin Cohen & Jessup이 미국 전역의 레저 구매자를 대상으로 한 잠정 집단소송 형태로 사건을 이끌고 있다.
이번 소송은 2023년 12월 14일 전후로 발생한 보안 사고에 초점이 맞춰져 있다. 당시 공격자는 레저 ‘커넥트 키트’를 배포하던 NPMJS 계정을 탈취했다.
커넥트 키트는 레저 하드웨어 지갑과 탈중앙화 애플리케이션(DApp)을 연결해 주는 라이브러리다. 공격자들은 레저를 떠난 전직 직원의 계정을 피싱 방식으로 가로챈 뒤, 권한이 제때 회수되지 않았던 점을 파고들었다. 레저도 당시 이 관리 부실을 인정한 바 있다.
킴의 주장에 따르면, 2025년 2월 18일 자신에게 코인커버(Coincover) 관계자를 사칭한 전화가 걸려왔다. 상대는 “네덜란드에서 누군가가 ‘레저 리커버(Ledger Recover)’에 가입하려 했다”고 경고했고, 이어 두 번째 사칭 전화가 유사 사이트로 접속하도록 유도했다. 킴은 해당 사이트에 복구 구문(passphrase)을 입력했고, 이틀 뒤 계정에서 1,948,074달러 상당 자산이 사라진 것을 발견했다.
관련 기사: XRP 레저, 3~5초 간격 데이터 발행으로 BIS 시험대 오른다
5억 달러 배상 산정은 ‘추정치’
이번 소송에서 원고 측은 총 7가지 청구 원인을 제기했다. 구체적으로는 과실(negligence), 과실에 의한 허위 진술(negligent misrepresentation), 약속금반언(promissory estoppel), 그리고 뉴욕주 일반상거래법 349·350조(기만적 영업행위 및 허위·과장 광고 금지) 위반 등이 포함돼 있다.
킴은 또한 레저가 데이터 유출 후 30일 이내에 뉴욕 거주 피해자들에게 통지하지 않음으로써 뉴욕주 ‘SHIELD Act’를 위반했다는 확인 판결도 요구하고 있다.
손해배상 규모로 제시된 5억 달러는 실제 피해액 집계라기보다, 레저가 판매한 지갑 700만 대를 기준으로 3%인 21만 명이 피해를 입었을 것이라는 가정에 따른 추정치다. 킴 개인의 손실은 보안 사고 후 약 14개월 뒤 발생했으며, 소장은 “입수 가능한 정보와 합리적 추론에 근거해” 두 사건의 인과관계를 주장하는 한편, 향후 증거개시 절차를 거쳐 내용을 수정할 권리를 유보했다.
레저 보안 이력, 다시 도마 위에
레저에 따르면 당시 커넥트 키트 취약점을 악용한 공격으로, 이더리움 (ETH) 가상머신 기반 애플리케이션에서 ‘블라인드 서명(Blind Signing)’을 진행하던 이용자들에게서 약 60만 달러가 탈취됐다.
레저는 피해자 전원을 보상하겠다고 약속하는 한편, 블라인드 서명 기능을 단계적으로 폐지하겠다고 밝혔다.
당시 파스칼 고티에(Pascal Gauthier) 최고경영자(CEO)는 “문제의 근본 원인은 서드파티 애플리케이션에 있었으며, 레저 하드웨어 자체의 보안 결함은 아니었다”고 주장했다.
그러나 레저의 보안 이력은 이미 흠집이 난 상태다. 2020년에는 27만 명이 넘는 고객 정보가 유출되는 사고가 발생했으며, 해당 데이터는 이후 다크웹 등 불법 유통망을 통해 돌아다니고 있다. 이와 관련한 소송도 여전히 캘리포니아 북부연방지방법원에서 진행 중이다.
한편 피싱 조직들은 2025년 4월까지도 레저 로고를 도용한 우편물을 지갑 보유자들에게 발송하며, QR 코드를 통해 악성 사이트로 유도하는 수법을 이어가고 있는 것으로 알려졌다.
