세이프팔, 5월 피싱 신고 두 달 방치 후 3만9798명 주문정보 유출 확인

암호화폐 지갑 서비스 세이프팔(SafePal)이 이용자 약 3만9798명의 주문정보가 외부에 노출됐다고 8월 16일(현지시각) 공개했다. 주문추적용 플러그인에 권한 검증 결함이 있어 일부 고객의 주문정보를 다른 사람이 열람할 수 있었다는 설명이다. 노출된 정보에는 이름, 이메일, 배송주소, 전화번호, 구매 상세내역이 포함됐다. 다만 시드구문(seed phrase·지갑 복구용 비밀문구)과 개인키, 지갑 비밀번호, 결제 정보, 정부 발급 신원번호는 노출되지 않았다고 세이프팔은 강조했다.

세이프팔은 자사 소셜미디어 계정을 통해 “여러분의 세이프팔 지갑, 시드구문, 개인키는 안전하다”면서도 “일부 고객의 정보에 대한 무단 접근을 초래한 결함을 주문추적 플러그인에서 발견했다”고 밝혔다. 회사는 해당 취약점을 수정하고 추가 보안 조치를 도입했다고 덧붙였다.

5월 피싱 신고에서 7월 정식조사로

세이프팔이 공개한 사고 관련 FAQ에 따르면 이번 사건은 5월 초 접수된 피싱 신고에서 시작됐다. 회사는 당시 이를 개별 사례로 판단해 대응했으나, 이후 사안을 정식 보안조사로 격상했다. 7월 들어 주문처리 파이프라인 전체를 재점검하고 재구축하는 작업에 착수했고, 이 과정에서 플러그인 결함을 최종 확인했다는 설명이다.

피싱 신고가 접수된 시점과 결함이 확인된 시점 사이에는 두 달가량의 간극이 있었던 셈이다. 세이프팔은 영향을 받은 고객들에게 일요일(현지시각) 개별 이메일을 발송했으며, 주문번호와 배송국가만 입력하면 자신의 주문정보가 노출됐는지 확인할 수 있는 도구도 함께 공개했다.

무엇이 유출됐고 무엇은 안전했나

이번에 노출된 주문정보는 2025년 3월 2일부터 2026년 4월 11일 사이 접수된 주문을 대상으로 한다. 포함된 항목은 이름, 이메일 주소, 배송주소, 전화번호, 구매 상세정보다. 세이프팔은 시드구문, 개인키, 지갑 비밀번호는 물론 결제카드 번호, 계좌정보, 정부 발급 신원번호도 이번 사고로 노출되지 않았다고 밝혔다.

회사는 또 이번 사고 자체가 지갑 접근권이나 고객 자산을 직접 침해했다는 증거는 발견하지 못했다고 설명했다. 세이프팔은 “고객들에게 시드구문이나 개인키, 비밀번호를 절대 요구하지 않는다”는 점을 재차 강조하며, 주문정보가 노출됐다는 이유만으로 자산을 다른 지갑으로 옮길 필요는 없다고 안내했다. 다만 의심스러운 웹사이트에 이미 시드구문이나 개인키를 입력한 적이 있는 이용자에게는 “해당 지갑을 침해된 것으로 간주”하고 새 지갑을 만들어 남은 자산을 옮기라고 권고했다.

데이터 보존 오류가 유출 범위를 넓혔다

세이프팔은 이번 사고와 별개로 예정된 데이터 정리(클린업) 절차가 2025년 9월부터 2026년 4월까지 설정 오류로 정상 작동하지 않았다고 밝혔다. 이 오류 자체가 무단 접근을 유발한 것은 아니지만, 원래 삭제됐어야 할 오래된 주문기록이 예정보다 길게 시스템에 남아 있게 됐다. 그 결과 노출 범위가 2025년 3월까지 거슬러 확장됐다는 설명이다.

세이프팔은 이후 관련 주문처리 환경의 개인정보 보존 기간을 법적 요건을 전제로 90일로 단축했다. 영향을 받은 고객의 개인정보는 현재 활성 상태인 이커머스 서버에서는 삭제됐지만, 향후 조사를 지원하기 위한 암호화된 오프라인 사본은 별도로 보관 중이라고 회사는 밝혔다.

남은 위험과 세이프팔의 대응

노출된 이름, 주소, 구매내역은 공격자가 더 그럴듯한 피싱 시도를 벌이는 데 악용될 수 있다는 점에서 여전히 위험 요인으로 남아 있다. 세이프팔은 이미 사기 활동과 연계된 피싱 웹사이트와 링크 30여 개를 확인해 폐쇄했으며 새로운 유사 도메인을 계속 모니터링하고 있다고 밝혔다.

비슷한 사례로 하드웨어 지갑 업체 트레저(Trezor)의 고객 1만3689명이 제3자 배송업체를 통한 유출로 이름, 이메일, 전화번호, 배송주소가 노출된 사건이 있었다. 이후 스캐머들이 트레저와 레저(Ledger) 명의를 사칭한 가짜 우편물에 QR코드를 넣어 복구구문을 탈취하려는 시도도 포착된 바 있다. 주문정보 유출이 곧바로 자산 탈취로 이어지지는 않더라도, 후속 피싱 공격의 발판이 될 수 있다는 우려가 업계 전반에서 반복되고 있는 셈이다.

세이프팔은 독립적인 제3자 보안업체를 통해 자사의 수정 조치를 검증하고 주문처리 시스템 전반을 더 폭넓게 재검토할 계획이라고 밝혔다. 해당 업체명은 아직 공개되지 않았다. 회사는 물류·풀필먼트 파트너사에도 상황을 통보했으며, 현재까지 사고가 파트너사 시스템까지 확장됐다는 증거는 발견하지 못했다고 전했다.

세이프팔은 전담 지원채널을 개설하고 금전적 피해를 신고하는 고객을 대상으로 온체인(on-chain) 자산 추적 전문가와 접촉하고 있다고 밝혔다. 다만 회사는 이러한 조치가 “책임을 인정하거나 보상을 약속하는 것은 아니다”라고 선을 그었다. 공격자의 신원은 아직 확인되지 않았고, 후속 피싱으로 인한 확정 손실 규모도 공개되지 않았다. 세이프팔은 추가 조사 결과를 공식 보안 업데이트를 통해 알릴 계획이라고 밝혔다.