트레저 고객 1만3689명 정보 유출, 배송업체 ShipMonk 해킹이 원인

하드웨어 지갑 제조사 트레저(Trezor)가 8월 13일(현지시각) 자사 배송 파트너에서 발생한 데이터 유출로 고객 정보가 노출됐다고 공지했다. 트레저는 X(옛 트위터)를 통해 미국, 영국, 스웨덴, 콜롬비아, 브라질, 이탈리아, 포르투갈에서 5월 10일부터 8월 8일 사이 주문한 고객 총 1만3689명의 정보가 유출됐다고 밝혔다. 이 중 1만1742명은 이름, 이메일, 전화번호, 배송지 주소까지 노출됐고 나머지 1947명은 이름, 도시, 이메일이 노출됐다. 트레저는 “우리 시스템과 기기는 안전하지만 피해 고객은 더 정교한 피싱 공격을 받을 수 있다”고 경고했다. 이번 사고는 트레저의 배송 대행업체 ShipMonk 시스템이 무단 접근을 당하면서 발생했다.

배송 대행업체 ShipMonk에서 터진 사고

트레저의 모회사인 사토시랩스(SatoshiLabs, 체코 프라하 소재)는 비트코인매거진(bitcoinmagazine.com)에 보낸 이메일에서 제3의 배송 파트너 ShipMonk가 “고객 데이터가 담긴 시스템에 무단 접근을 당했다”고 밝혔다. 디크립트(decrypt.co)에 따르면 ShipMonk는 지난 월요일(현지시각) 트레저에 이 사실을 통보했다.

피해 규모가 상대적으로 제한된 이유는 트레저의 데이터 보관 정책 덕분이었다. 트레저는 파트너사가 배송 완료 후 90일이 지나면 주문 데이터를 삭제하거나 익명화하도록 요구하고 있어, 그보다 오래된 주문 정보는 이미 남아있지 않았다고 설명했다. 알림 이메일을 받지 않은 고객은 이번 사고와 무관하다고도 덧붙였다. 트레저는 지난 13년 동안 고객의 전화번호와 배송지 주소가 노출되는 유출 사고는 이번이 처음이라고 강조했다.

유출 정보로 벌어질 수 있는 피싱 위험

트레저가 가장 우려하는 부분은 2차 피해다. 회사는 “유출된 정보를 이용해 사기범들이 가짜 이메일을 보내거나 전화를 걸고, 사기성 우편물을 보내거나 은행, 크립토 거래소, 심지어 트레저를 사칭할 수 있다”고 경고했다. 디크립트(decrypt.co)는 트레저가 예상치 못한 연락은 의심하고, 지갑 백업 정보를 온라인에 입력하지 말 것을 고객에게 권고했다고 전했다.

트레저 측은 기기, 프라이빗 키, 지갑 백업 자체는 이번 유출과 무관하다고 재차 밝혔다. 하지만 유출된 개인정보만으로도 신뢰를 악용한 정교한 사회공학적 공격이 가능하다는 점이 문제다. 이름과 주소, 전화번호를 손에 넣은 공격자가 실제 지인이나 기관을 사칭해 접근할 경우 피해자가 속을 위험이 커진다.

하드웨어 지갑 업계 잇단 수난사

이번 사고는 하드웨어 지갑 업계에서 반복되는 문제의 최신 사례다. 앞서 2020년 경쟁사 레저(Ledger)의 전자상거래·마케팅 데이터베이스가 무단 접근을 당해 100만 개 이상의 이메일 주소와 함께, 디크립트에 따르면 약 27만2000명 고객의 이름·주소·전화번호가 유출된 바 있다. 이 사건 이후 일부 피해자는 폭력을 암시하는 몸값 요구 연락을 받았고, 한 피해자는 디크립트에 하루에도 여러 통의 이메일과 문자를 받았다고 전했다. 올해 초에는 레저의 결제 파트너 Global-e의 클라우드 시스템에서도 데이터 유출이 발생해 고객 민감정보가 노출됐다.

비트코인 커뮤니티는 최근 캐나다 코인카이트(Coinkite)의 콜드카드(Coldcard) 지갑 해킹 사건으로도 충격을 받았다. 지난달 말부터 해커들이 콜드카드 지갑에서 비트코인을 탈취하기 시작해 피해 규모가 1억1100만 달러에 이르렀고, 디크립트에 따르면 이후 피해액이 1억3000만 달러에 근접한 것으로 추산된다. 콜드카드 사태를 지켜본 일부 레저·트레저 이용자들이 멀티시그(다중서명) 방식으로 옮겨가면서, 자산관리업체 카사(Casa)에 따르면 장기 보유자 지갑에서 이탈한 약 23만3000BTC, 약 150억 달러(1달러 1,417원 기준 약 21조 3,000억 원) 상당의 비트코인 이동에 콜드카드 고객이 아닌 레저·트레저 이용자들도 포함됐다.

물리적 위협도 늘고 있다. 디크립트에 따르면 보안업체 서틱(CertiK)은 올해 상반기 전 세계에서 52건의 암호화폐 보유자 대상 물리적 공격을 확인했다. 지난해 같은 기간 39건보다 늘어난 수치로, 주거침입이 납치를 제치고 가장 흔한 공격 방식이 됐다. 체이널리시스(Chainalysis)는 같은 기간 도난 금액이 3000만 달러를 넘는다고 밝혔고, 올해가 역대 최악의 해가 될 것으로 전망했다.

트레저의 대응책과 남은 과제

트레저는 유출 재발을 막기 위해 ‘애노니머스 딜리버리(Anonymous Delivery)’ 옵션 도입 시기를 앞당기겠다고 밝혔다. 사물함 픽업, 무기명 포장, 일반화된 발송인 정보, 배송 식별정보 자동 삭제 등을 적용하는 방식이다. 유럽연합에는 9월까지, 미국에는 올해 말까지 이 서비스를 도입할 계획이다.

코인데스크는 이번 사고가 전 세계적으로 데이터 유출이 사상 최고 수준에 달한 시점에 발생했다고 짚었다. 미국 보안업체 센티널원(SentinelOne)에 따르면 올해 데이터 유출 건수는 2025년보다 17% 증가했고, 전 세계에서 주당 평균 2090건의 공격이 발생하고 있다. 데이터 유출은 1월 이후 매달 3%씩 늘어나는 추세라고 센티널원은 덧붙였다. 콘텔레그래프는 트레저가 2024년 1월에도 2021년 12월 이후 고객지원팀에 연락한 약 6만6000명이 피싱 위험에 노출됐다고 밝힌 바 있다고 전했다. 하드웨어 지갑이 프라이빗 키 보안 자체는 지켜내고 있지만, 배송·고객지원 등 주변 협력사를 통한 개인정보 유출은 반복적으로 발생하고 있는 셈이다.