트레저, 배송 파트너 해킹으로 고객 정보 유출 사고 발생

세계적인 하드웨어 암호화폐 지갑 제조사 트레저(Trezor)가 배송 파트너사의 데이터 유출 사고로 인해 다수의 고객 개인정보가 노출되는 사건을 겪었다. 이번 사고는 암호화폐 하드웨어 지갑 보안의 중요성을 다시 한번 부각시키며, 사용자들의 각별한 주의를 요구하고 있다.

Trezor는 공식 트위터를 통해 "어려운 소식을 전하게 되어 유감"이라며, "안타깝게도 당사의 배송 제공업체 중 한 곳에서 데이터 유출 사고가 발생했으며, 이로 인해 민감한 주문 데이터가 노출되었다"고 밝혔다. 해당 사고는 지난 2026년 8월 13일(현지 시간)에 공개되었으며, 사고는 트레저의 물류 및 배송 파트너사인 ShipMonk에서 발생한 것으로 확인되었다.

ShipMonk는 트레저 제품의 보관 및 배송을 담당하는 업체로, 지난 8월 10일 ShipMonk 측은 승인되지 않은 외부 침입자가 고객 데이터를 보유하고 있는 시스템에 접근했다고 트레저에 통보했다. 이 사고로 인해 총 13,689명의 트레저 고객 정보가 유출된 것으로 파악되었다. 구체적으로는 11,742명의 고객에 대해서는 이름, 전화번호, 이메일 주소, 배송 주소 등 완전한 개인 정보가 포함되었으며, 나머지 1,947명의 고객에 대해서는 이름, 도시, 이메일 주소 등이 노출되었다.

유출된 정보는 2026년 5월 10일부터 8월 8일 사이에 주문을 하고 미국, 영국, 스웨덴, 콜롬비아, 브라질, 이탈리아, 포르투갈 등지로 배송받은 고객들을 대상으로 하고 있다. 트레저는 이번 사고와 관련하여 해당 기간 내에 주문을 완료하고 통보 이메일을 받지 않은 고객은 이번 사고의 영향을 받지 않는다고 덧붙였다.

트레저는 이번 사고와 관련하여 자신들의 시스템은 침해되지 않았으며, 하드웨어 지갑 장치, 개인 키, 또는 지갑 백업 정보 등은 전혀 영향을 받지 않았다고 강조했다. 또한, 파트너사와의 계약에 따라 주문 데이터는 배송 완료 후 90일이 지나면 삭제하거나 익명화하도록 규정하고 있어, 비교적 오래된 주문 정보는 이미 보유하고 있지 않았기 때문에 피해 범위를 최소화할 수 있었다고 설명했다. 트레저는 13년의 운영 역사상 고객의 전화번호와 배송 주소가 노출된 것은 이번이 처음이라고 밝혔다.

이번 사건은 암호화폐 자산을 안전하게 보관하기 위한 하드웨어 지갑의 물리적 보안뿐만 아니라, 공급망 전반의 보안 취약점에 대한 경각심을 높이고 있다. 특히, 하드웨어 지갑 제조사는 고객의 개인 정보를 제3의 파트너사에게 맡기는 경우가 많기 때문에, 파트너사의 보안 관리 또한 매우 중요한 요소로 작용한다.

트레저는 이번 데이터 유출 사고와 관련하여 고객들에게 각별한 주의를 당부했다. 특히, 피싱(phishing) 공격의 위험이 높아질 수 있다고 경고하며, 의심스러운 연락이나 이메일에 대해서는 항상 주의를 기울이고, 절대 온라인상에 지갑 백업 정보를 입력하지 말 것을 강조했다. 또한, 랜섬웨어 공격이나 물리적 위협(wrench attacks)으로 이어질 수 있는 가능성도 배제할 수 없다고 덧붙였다.

실제로 과거 유사한 사례가 존재한다. 2020년 경쟁사인 렛저(Ledger) 역시 이커머스 파트너사의 데이터 유출로 인해 27만 명 이상의 고객 이름, 주소, 전화번호가 유출되는 사고를 겪었다. 당시 유출된 정보를 악용한 피싱 메일, 협박 전화, 심지어는 물리적인 위협까지 발생하는 심각한 상황으로 이어지기도 했다.

이러한 물리적 공격은 암호화폐 시장이 성장함에 따라 더욱 증가하는 추세다. 보안업체 CertiK는 2026년 상반기 전 세계적으로 암호화폐 보유자에 대한 물리적 공격이 52건으로, 전년 동기 대비 39건에서 증가했으며, 납치보다 주거 침입이 더 일반적인 수법으로 보고되었다고 밝혔다. Chainalysis는 같은 기간 동안 도난당한 금액이 3천만 달러를 넘어섰으며, 올해가 최악의 한 해가 될 것이라고 전망했다.

하드웨어 지갑 제조사의 공급망에서 이러한 보안 사고가 발생하는 것은 이번이 처음이 아니다. 렛저는 2026년 1월에도 자체 전자상거래 파트너인 Global-e에서 발생한 데이터 유출 사고를 공개한 바 있다. 또한, 하드웨어 지갑 업체들은 지난달(8월)에도 Coldcard의 이커머스 파트너사 해킹으로 인해 피싱 공격이 급증할 수 있다고 경고한 바 있다.

이번 트레저의 고객 정보 유출 사고는 암호화폐 투자자들이 단순히 디지털 자산의 보안뿐만 아니라, 개인 정보 보호 및 물리적 위협에 대한 대비책까지 다각적으로 고려해야 함을 시사한다. 고객들은 항상 사용 중인 서비스의 보안 정책을 확인하고, 의심스러운 활동에 대한 경계를 늦추지 않아야 하며, 2단계 인증(2FA) 활성화, 강력한 비밀번호 사용, 최신 보안 업데이트 적용 등 기본적인 보안 수칙을 철저히 준수해야 한다.

Trezor는 이번 사고에 영향을 받은 고객들에게 개별적으로 연락하여 상세한 안내와 필요한 지원을 제공할 예정이다. 또한, 재발 방지를 위해 파트너사인 ShipMonk와 협력하여 보안 강화 조치를 더욱 철저히 이행할 것을 약속했다.