트레저, 배송 로그 삭제 누락으로 개인정보 유출 고객 6배 증가
CryptoSlate2026년 9월 6일 04:003
하드웨어 암호화폐 지갑 제조사 트레저(Trezor)가 물류 파트너사십몬크(ShipMonk)에서 발생한 데이터 유출 사고로 인해 기존에 알려진 것보다 훨씬 더 많은 고객의 개인정보가 노출되었다고 밝혔다. 이번 사고로 영향을 받은 미국 고객 수는 약 6만 7천 명으로, 초기 발표보다 6배 이상 증가한 수치다.
트레저 측은 지난 8월 13일, 총 13,689명의 고객 정보가 유출되었다고 처음으로 발표했다. 하지만 이후 추가 조사 과정에서 2019년부터 2021년까지의 오래된 배송 데이터가 물류업체 시스템에 삭제되지 않고 남아있었다는 사실이 밝혀졌다. 트레저와십몬크는 해당 데이터의 삭제를 서면으로 보장했음에도 불구하고, 이 기록들이 보존되어 있었던 것이다.
새롭게 확인된 유출 데이터는 2019년 11월부터 2021년 8월까지 미국 내 트레저 지갑 주문과 관련된 정보를 포함하고 있다. 유출된 정보에는 고객의 이름, 이메일 주소, 전화번호, 배송지 주소 및 주문 번호 등이 포함되어 있다. 이는 단순히 이메일 주소만 노출되는 일반적인 개인정보 유출 사고와는 달리, 식별 가능한 개인과 실제 물리적 위치를 하드웨어 지갑 구매라는 특정 사실과 연결할 수 있다는 점에서 더욱 심각한 위험을 초래할 수 있다.
트레저의 개인정보 처리 정책에 따르면, 고객의 주문 관련 세부 정보는 주문 처리 완료 후 90일이 지나면 자체 시스템과 물류 파트너 시스템 모두에서 삭제되어야 한다. 하지만이번 사건은 이러한 정책이 제대로 이행되지 않았음을 보여준다. 트레저는십몬크로부터 데이터 삭제에 대한 서면 보증을 여러 차례 받았다고 밝혔지만, 이 보증 서한의 구체적인 내용이나 날짜는 공개되지 않았다.
이번 데이터 유출의 근본적인 원인은 물류 파트너사인십몬크의 분석 플랫폼인 메타베이스(Metabase) 시스템의 취약점으로 지목되고 있다. 보안 전문 매체 비프링컴퓨터(BleepingComputer)에 따르면, 지난 8월 발견된 메타베이스의 제로데이 취약점은 관리자 계정과 연결된 세션을 생성하고 대량의 테이블을 다운로드할 수 있도록 허용했던 것으로 알려졌다. 이러한 취약점을 통해 비인가 접근이 발생했고, 이것이 트레저 고객 정보 유출로 이어진 것이다.
가장 중요한 점은 이번 사고가 트레저의 하드웨어 지갑 자체의 보안에는 영향을 미치지 않았다는 것이다. 트레저 측은 자사의 시스템, 제품 및 서비스는 전혀 침해되지 않았으며, 사용하고 있는 지갑 장치 역시 안전하다고 강조했다. 유출된 정보에는 암호화폐 자산을 보호하는 복구 시드(recovery seed)나 개인 키(private key)가 포함되어 있지 않다.
하지만 유출된 고객 정보는 잠재적으로 더 정교한 피싱 공격이나 사기 행위에 악용될 수 있다. 예를 들어, 고객의 이름, 이메일, 주소 등의 정보를 활용하여 매우 그럴듯한 사기 이메일을 보내거나, 전화 또는 우편으로 추가 정보를 요구하는 수법 등이 가능하다. 또한, 물리적 주소 정보가 노출됨에 따라 실제 거주지나 사무실 등에 대한 물리적 위협이나 표적 공격의 가능성도 배제할 수 없다. 현재까지 이 유출된 데이터셋으로 인해 실제로 발생한 하향식 공격(downstream attack)이 확인된 바는 없으나, 이러한 위험은 여전히 실존하는 것으로 간주된다.
트레저는 이번 사고와 관련하여 고객들에게 각별한 주의를 기울일 것을 당부했다. 의심스러운 이메일, 전화, 문자 메시지 등에 절대 응하지 말고, 개인 정보나 계정 정보를 요구하는 경우 즉시 해당 연락을 중단하고 트레저 공식 채널을 통해 사실 여부를 확인해야 한다. 또한, 2단계 인증(2FA)과 같은 보안 수단을 적극적으로 활용하고, 사용하는 모든 온라인 계정의 비밀번호를 주기적으로 변경하는 것이 권장된다.
이 사건은 하드웨어 지갑 사용자가 암호화폐 자산을 안전하게 보관하기 위해 지갑 자체의 보안뿐만 아니라, 공급망 전반에 걸친 파트너사의 보안 관리 또한 얼마나 중요한지를 다시 한번 상기시켜준다. 고객 데이터를 다루는 모든 업체는 철저한 보안 감사와 관리 시스템을 구축하고, 데이터 삭제 정책을 엄격하게 준수해야 할 것이다. 또한, 개인정보 유출 사고 발생 시에는 투명하고 신속한 정보 공개를 통해 고객들의 불안감을 해소하고 필요한 조치를 취할 수 있도록 지원해야 한다. 트레저가 이번 사고를 통해 얻은 교훈을 바탕으로 앞으로 보안 강화에 더욱 힘쓰기를 기대한다.
이번 사건은 암호화폐 업계 전반에 걸쳐 공급망 보안의 중요성을 강조하는 사례로 남을 것으로 보인다. 단순히 개인용 컴퓨터나 스마트폰에 설치되는 소프트웨어 지갑과는 달리, 하드웨어 지갑은 물리적인 장치와 배송 과정을 포함하기 때문에 보안 위협의 경로가 더욱 다양하다. 따라서 트레저와 같은 하드웨어 지갑 제조사들은 자체 보안 기술 개발과 더불어, 협력업체 선정 및 관리에도 만전을 기해야 하는 과제를 안고 있다. 고객들은 이러한 사고를 통해 자신의 자산을 안전하게 지키기 위한 책임이 결국 자신에게 있음을 인식하고, 보안 수칙을 철저히 준수하는 것이 필수적이다.