291명 암호화폐 사용자 익명성 깨졌다…개인정보 유출 위험 '경고'

스위스의 비수탁형 비트코인 서비스 제공업체인 포켓 비트코인(Pocket Bitcoin)에서 발생한 데이터 유출 사고가 291명의 사용자에 대한 개인정보와 비트코인 지갑 활동 간의 연결고리를 노출시키면서 암호화폐 업계의 프라이버시 문제에 대한 경각심을 높이고 있다. 이번 사고는 단순히 이메일 주소나 고객 지원 대화 내용만이 아닌, 실제 신원 정보와 공개된 비트코인 거래 활동이 연계될 수 있다는 점에서 심각성을 더한다.

포켓 비트코인은 지난 8월 21일 최초 유출 사실을 공개한 이후, 8월 31일 업데이트를 통해 사고의 범위를 더욱 구체적으로 밝혔다. 이 업데이트에 따르면, 일부 고객 기록에는 개인의 이름, 우편 주소, 거래에 사용된 비트코인 주소, 신원 확인 서류 사본, 자금 출처 기록 등 다양한 정보가 혼합되어 포함된 것으로 확인되었다. 대부분의 해당 고객들은 이 중 일부 정보만이 노출되었지만, 이는 공격자에게 지갑 통제권을 직접적으로 제공하지는 않더라도, 프라이버시 침해 및 피싱 공격의 위험을 증가시키는 요인으로 작용한다.

비트코인 주소 자체는 공개되어 있으며, 누구나 블록체인 상에서 해당 주소의 잔액과 거래 내역을 확인할 수 있다. 그러나 이러한 공개된 비트코인 주소에 개인의 실명, 나아가 우편 주소나 특정 거래 금액까지 연결될 경우, 개인의 오프라인 신원과 블록체인 상의 활동 간의 분리막이 허물어지게 된다. 이는 기존의 익명성을 유지하고자 하는 암호화폐 사용자들에게는 치명적인 보안 위협이 될 수 있다.

포켓 비트코인 측은 이번 유출된 정보만으로는 비트코인을 이동시키는 것이 불가능하다고 강조했다. 비트코인 거래는 해당 비트코인 주소에 대응하는 개인 키(Private Key)를 이용한 유효한 서명이 있어야만 가능하며, 포켓 비트코인은 비수탁형 서비스로서 고객의 개인 키를 보유하고 있지 않아 고객 자금의 위험은 없다고 설명했다. 그러나 더 즉각적인 문제는 사기 및 기만 행위이다.

포켓 비트코인은 유출된 고객 지원 기록을 바탕으로 관련 사고에 대한 이메일, 전화, 메시지 등을 더욱 신뢰성 있게 위장한 피싱 공격이 시도될 수 있다고 경고했다. 스위스 국가 사이버 보안 센터(National Cyber Security Centre) 역시 수신자의 실제 주소를 이용하여 협박 수위를 높이는 사기 및 위협 사례를 문서화한 바 있다. 이는 노출된 위치 정보가 광범위한 위험을 초래할 수 있음을 시사하지만, 포켓 비트코인 고객들이 이미 이러한 표적이 되었다는 직접적인 증거는 아직 없다.

이번 포켓 비트코인 사고는 처음 공개된 내용과는 달리, 단순히 이메일 주소나 고객 지원 대화 내용에 국한되지 않는 더 심각한 수준의 개인정보 유출 가능성을 내포하고 있다. 최초 공개 당시에는 고객 데이터베이스와 거래 내역이 영향을 받지 않았다고 밝혔으나, 추후 발표된 내용에서는 이 표현이 다소 광범위했다고 인정했다. 포켓 비트코인은 고객 데이터베이스나 거래 데이터베이스 자체는 침해되지 않았지만, 해당 정보와 관련된 내용이 유출된 고객 지원 시스템 내의 일부 기록에 포함되어 있었다고 해명했다. 특히, 자금 출처 문서나 결제 관련 논의가 포함된 기록의 경우, 결제 금액이 함께 노출된 사례도 있었다.

회사는 이번 사고로 영향을 받은 291명의 모든 고객에게 개별적으로 통지했으며, 각 개인의 경우에 어떤 데이터가 영향을 받았는지 명확하게 명시했다고 밝혔다. 또한, 사고 발생 후 즉각적인 법의학적 조사를 진행하고 있다고 덧붙였다. 이번 사고는 암호화폐 거래의 편리성과 더불어 개인정보 보호의 중요성을 다시 한번 강조하며, 관련 기업들은 물론 사용자들에게도 보안 인식 제고를 요구하고 있다. 향후 규제 당국의 암호화폐 관련 개인정보 보호 강화 움직임에도 영향을 미칠 것으로 예상된다.