키스톤, 웹사이트 해킹으로 하드웨어 지갑 구매자 주소 노출

암호화폐 하드웨어 지갑 제조업체 키스톤(Keystone)이 웹사이트 보안 침해 사실을 공개하며 고객 정보가 공격자에게 노출되었음을 밝혔다. 이는 표적 사기 및 실물 공격에 대한 우려를 증폭시키고 있다.

키스톤은 토요일, 이번 주 초 의심스러운 활동을 감지했으며 금요일에 쇼피파이(Shopify)와의 API 활동을 검토한 후 비인가 제3자가 고객 배송 정보에 접근했음을 확인했다고 밝혔다. 노출된 정보에는 이름, 연락처, 배송 주소 및 구매 품목과 같은 기타 주문 세부 정보가 포함되어 있다.

회사는 “접근을 차단하고 취약점을 수정했으며, 조사를 시작하고 영향을 받은 고객에게 이메일을 보내고 있다”고 말했다. 키스톤은 노출된 정보가 표적 피싱 공격에 사용될 수 있다고 경고했다. 그러나 보안 연구원 테일러 모나한(Taylor Monahan)은 배송 주소 유출이 고객을 실물 공격 및 납치에 노출시킬 수 있다고 우려를 표명했다.

블록체인 보안 회사 서틱(CertiK)은 2026년 상반기에 전 세계적으로 52건의 검증된 렌치 공격(wrench attacks)을 기록했는데, 이는 작년 같은 기간의 39건보다 33% 증가한 수치다. 일반적으로 ‘렌치 공격’이라고 불리는 이러한 범죄는 암호화폐 보유자에게 자산을 포기하도록 강요하기 위해 물리적인 위협이나 폭력을 사용한다.

키스톤은 “다시 한번, 영향을 받은 모든 분들께 진심으로 사과드린다”고 밝혔다. 회사는 몇 명의 고객이 영향을 받았는지 공개하지 않았다.

**키스톤, 고객 데이터 삭제 약속 관련 의문 제기**

이번 해킹은 키스톤의 오래된 고객 정보 처리 방식에 대한 의문을 불러일으키기도 했다. 키스톤은 2023년 블로그 게시물에서 다른 하드웨어 지갑 제조업체에 영향을 미친 보안 사고 이후 고객 데이터 보존 기간을 180일로 단축했다고 밝힌 바 있다.

하지만 일부 고객들은 2년 이상 전에 기기를 구매했음에도 불구하고 해킹 알림을 받았다고 주장하며, 키스톤이 어떤 정보를 보존하고 있었는지, 그리고 해당 알림이 약속대로 오래된 주문 기록이 삭제되지 않았음을 나타내는 것인지에 대한 의문을 제기하고 있다.

이탈리아는 레볼루트(Revolut) 데이터 유출과 연계된 정부 이메일 해킹을 조사 중이라는 관련 보도도 있었다.

X(구 트위터) 사용자 ‘OG DEGEN’은 사기 사건을 조사하는 법 집행 기관이라고 주장하는 사기꾼으로부터 전화를 받았다고 밝혔다. 이 사용자는 발신자가 2024년에 한 키스톤 주문을 통해 자신의 정보를 얻은 것으로 추정했다. 해당 발신자가 언급한 개인 정보 때문이다.

“그들의 계획은 제 개인 키가 노출되었다고 저를 설득한 다음, 이를 재설정하기 위한 피싱 링크를 보내는 것이었던 것 같다”고 그는 X에 썼다. 또 다른 X 사용자 ‘trintaetres’ 역시 2년 이상 전에 기기를 구매했음에도 이메일 알림을 받았다고 말했다.

코인데스크는 키스톤에 이전에 발표된 보존 정책에도 불구하고 180일 이전 구매 건에 대한 고객 정보가 어떻게 노출될 수 있었는지, 그리고 몇 명의 고객이 영향을 받았는지에 대해 문의했다. 회사는 이 질문에 즉시 답변하지 않았다.

키스톤과 같은 하드웨어 지갑은 암호화폐 보안의 핵심 요소로 여겨지지만, 이번 사건은 아무리 강력한 보안 시스템이라도 완벽할 수 없으며, 사용자 정보 보호에 대한 지속적인 경계와 노력이 필요함을 시사한다. 해커들은 쇼피파이와 같은 전자상거래 플랫폼의 취약점을 파고들어 최종 사용자에게 도달하는 경우가 많으므로, 키스톤뿐만 아니라 이와 유사한 서비스를 이용하는 모든 기업은 보안 강화에 더욱 힘써야 할 것이다. 또한, 고객들은 자신의 개인 정보 노출 가능성에 대비하여 의심스러운 연락이나 링크에 주의를 기울여야 할 필요성이 강조된다.