비트코인 하드웨어 월렛 제조사, '팩토리 키' 유출에 1.8만 개 기기 폐기

비트코인 하드웨어 월렛 제조사인 키스톤(Keystone)이 기기 정품 인증에 사용되는 팩토리 키를 해커에게 탈취당함에 따라, 18,835개의 미판매 하드웨어 월렛을 전량 폐기하고 모든 배송을 중단한다고 발표했습니다.

이번 보안 사고는 지난 10월 20일 최초로 감지되었으며, 키스톤의 쇼피파이 스토어를 통해 2024년부터 2026년까지 거래된 25,964명의 구매자 기록 또한 영향을 받은 것으로 파악되었습니다. 이에는 이름, 연락처, 배송 주소 등의 개인 정보가 포함되어 있습니다.

키스톤 측은 이번 침해 사고로 인해 사용자의 복구 구문(recovery phrases)이나 개인 키(private keys)는 노출되지 않았으며, 10월 20일 이전에 배송된 기기 역시 영향을 받지 않았다고 강조했습니다. 그러나 이번 사건은 사용자가 정품과 동일하게 위조된 가짜 월렛에 속아 자산을 도난당할 수 있는 잠재적인 위험을 안고 있습니다.

키스톤은 성명을 통해 “팩토리 키가 노출될 경우, 공격자는 이를 이용해 정품 인증 절차를 통과하는 위조된 기기를 생산할 수 있다”며, “이러한 기기가 고객에게 판매되거나 배송될 경우, 고객은 무심코 이를 정품으로 사용하게 되어 자산 도난으로 이어질 수 있다”고 설명했습니다.

키스톤이 '웹어스(WebAuth) 키'라고 명명한 이 시크릿 코드는 각 기기가 공장에서 제작될 때 내장되어, 키스톤 웹사이트의 특정 페이지에서 하드웨어의 진위 여부를 확인할 수 있도록 하는 역할을 합니다. 이 키는 지우거나 재작성할 수 없으며, 현재 재고로 남아있는 18,835개의 기기는 이러한 이유로 판매되지 않고 전량 폐기될 예정입니다.

키스톤은 지난 토요일, 제3자가 고객 배송 정보를 탈취했다고 처음 밝힌 바 있습니다. 월요일 발표에서는 도난당한 팩토리 키와 함께 25,964건의 구매자 기록에 대한 상세 내용을 추가로 공개했습니다. 다만, 이번 공격의 배후가 누구인지, 또는 공격자가 언제부터 시스템에 접근했는지에 대한 구체적인 정보는 공개되지 않았습니다.

이번 사고는 키스톤의 온라인 판매를 담당했던 전자상거래 플랫폼인 쇼피파이 스토어를 통해 발생했습니다. 키스톤은 총 51,083건의 구매자 기록이 연루되었으나, 이 중 25,119건은 이미 개인 정보가 삭제되었고, 2024년부터 2026년까지의 기간에 해당하는 25,964건의 기록에 이름, 연락처, 배송 주소, 주문 정보 등이 남아있다고 밝혔습니다. 아마존 및 다른 채널을 통한 구매는 이번 사고와 무관한 것으로 알려졌습니다.

또한, 키스톤은 일부 구매자 데이터가 이미 삭제되었어야 함에도 불구하고, 그 정책이 제대로 이행되지 않았음을 인정했습니다. 키스톤의 구매 기록 삭제 정책은 180일 후 정보 삭제였으나, 이 작업을 자동화하기 위해 자체 제작한 대량 삭제 도구가 안정적으로 작동하지 않았던 것으로 드러났습니다. 키스톤은 “일부 삭제 작업이 실패했으며, 이러한 실패를 적시에 감지하고 처리하지 못해 허용 기간을 넘어 특정 개인 정보가 보존되는 결과를 초래했다”며, “고객 데이터 제때 삭제 약속을 이행하지 못했으며, 이 실패에 대한 책임을 전적으로 수용한다”고 덧붙였습니다.

월렛 제조사에게 고객 명단은 반복적으로 발생하는 취약점입니다. 과거에도 렛저(Ledger)의 2020년 고객 정보 유출 사건은 약 292,000명의 고객에게 영향을 미쳤으며, 이후 피싱 이메일을 받은 사람들은 표적이 될 수 있다는 우려를 표했습니다.