하드월렛 해킹 잇따라… 세이프팔 4만명 정보 유출 '충격'

가상자산 보관의 핵심 도구인 하드월렛 보안에 대한 우려가 커지고 있다. 최근 하드월렛 제조사 세이프팔(SafePal)에서 발생한 개인정보 유출 사고는 약 4만 명의 고객 정보가 노출되는 심각한 결과를 초래했으며, 이는 하드월렛을 노린 공격이 단순 정보 유출을 넘어 금전적 피해로 이어지는 추세를 반영하고 있다는 분석이다.

세이프팔은 공식 발표를 통해 자사의 전자상거래 인프라에서 발생한 인가(authorization) 오류와 데이터 보관 실패가 결합되어 약 4만 명의 고객 개인정보가 유출되었다고 밝혔다. 이번 사고는 2025년 3월 2일부터 2026년 4월 11일 사이에 발생한 구매 건에 대한 고객 정보를 포함하고 있으며, 여기에는 이름, 이메일 주소, 배송 주소, 전화번호, 구매 상세 정보 등이 포함된 것으로 알려졌다.

세이프팔 측은 이번 유출 사고로 인해 개인 키, 복구 문구, 지갑 비밀번호, 결제 카드 번호, 지갑 접근 정보 등 핵심적인 보안 관련 정보는 노출되지 않았다고 강조했다. 또한, 이번 인가 오류 자체가 고객 지갑을 침해하거나 가상자산을 직접 탈취하는 데 사용되었다는 증거는 발견되지 않았다고 덧붙였다. 그럼에도 불구하고, 유출된 정보만으로도 대상 고객을 식별하여 표적 피싱 공격이나 실물 자산 탈취 시도를 감행할 수 있다는 점에서 심각성이 크다.

문제는 단순히 인가 오류뿐만이 아니었다. 세이프팔은 2025년 9월부터 2026년 4월까지 예정된 데이터 정리(cleanup) 프로세스가 구성 오류로 인해 제대로 작동하지 않았다고 밝혔다. 이로 인해 불필요하게 오래된 주문 기록이 시스템에 남아 있었고, 이는 인가 오류 발생 시 노출될 수 있는 정보의 범위를 더욱 확대시키는 결과를 낳았다. 이는 2020년 세이프팔 고객 지원팀이 밝힌 정보 보관 정책과도 배치된다. 당시 세이프팔은 배송이 완료된 하드월렛 주문과 관련된 정보는 30일간 보관 후 월별 정리 프로세스를 통해 파기할 것이라고 명시한 바 있다.

이번 세이프팔의 사고는 올해 들어 발생한 일련의 하드월렛 보안 사고 중 가장 최근에 발생한 사례에 불과하다. 앞서 트레저(Trezor), 렛저(Ledger), 콜드카드(Coldcard) 등 주요 하드월렛 제조사들도 유사한 보안 문제에 직면한 바 있다. 특히 콜드카드의 경우, 이미 해킹 사고로 인해 1억 달러(약 1,300억원) 이상의 비트코인 손실이 발생한 것으로 알려져 하드월렛 사용자들의 불안감을 증폭시키고 있다.

이러한 하드월렛 관련 보안 사고의 증가는 가상자산 시장 전반의 보안 인식 수준을 다시 한번 점검하게 만든다. 하드월렛은 콜드 스토리지(Cold Storage) 방식을 통해 인터넷과 분리된 환경에서 개인 키를 보관함으로써 해킹 위험을 최소화하는 것이 특징이다. 그러나 이번 사고들은 이러한 하드월렛의 물리적 보안 외에도, 고객 정보 관리, 주문 시스템, 데이터 보관 정책 등 소프트웨어 및 운영상의 취약점이 결국 사용자 자산의 안전을 위협할 수 있음을 보여준다.

전문가들은 하드월렛 사용자들에게 △개인정보 유출 사실 인지 시 즉각적인 대응 △의심스러운 이메일, 문자, 전화에 대한 극도의 주의 △새로운 보안 위협에 대한 지속적인 관심과 정보 습득 △가능하다면 다중 서명(Multi-signature) 지갑 활용 등 보안 강화 조치를 취할 것을 권고하고 있다. 또한, 가상자산 거래소 등에서도 고객 정보 보호에 대한 보다 철저한 관리가 필요하다는 지적도 나오고 있다.

이번 세이프팔 사태는 하드월렛의 기술적 안전성과 더불어, 서비스를 제공하는 기업의 전반적인 보안 시스템 및 데이터 관리 체계가 사용자 자산 보호에 얼마나 중요한 역할을 하는지를 재확인시켜주는 계기가 될 것으로 보인다. 가상자산 시장이 성장함에 따라 공격자들의 수법 또한 진화하고 있으며, 이에 대한 대비 또한 더욱 고도화될 필요가 있다.