하드웨어 지갑은 안전한가? 주변 시스템 침해로 드러난 암호화폐 보안 취약점
CryptoSlate2026년 9월 18일 20:501
암호화폐 자기 보관(Self-custody)의 핵심이라 할 수 있는 하드웨어 지갑은 그 자체의 견고한 보안으로 사용자 자산을 보호하는 것으로 알려져 있습니다. 하지만 최근 D’CENT와 Trezor에서 연이어 발생한 사건들은 하드웨어 지갑 주변의 소프트웨어 및 외부 시스템에서의 보안 취약점이 오히려 암호화폐 자산에 대한 접근 경로를 제공할 수 있음을 시사합니다. 이는 암호화폐 보안의 새로운 과제를 던져주며, 지갑 제조사들이 단순히 기기 자체뿐만 아니라 연동되는 앱, 고객 데이터 관리, 외부 파트너사와의 관계까지 포괄적인 보안 체계를 구축해야 함을 강조합니다.
D’CENT, 소프트웨어 지갑 노출 의혹 조사…“하드웨어 기기 침해 아냐”
국내에서 널리 사용되는 하드웨어 지갑 제조사 D’CENT는 최근 사용자들의 소프트웨어 기반 앱 지갑에서 발생한 비정상적인 거래에 대한 조사를 진행하고 있다고 밝혔습니다. 이번 사건은 하드웨어 지갑 자체의 보안이 아닌, 이를 보조하는 소프트웨어 앱에서의 키 관리 및 접근 권한 문제가 잠재적 위험 요소로 작용할 수 있음을 보여줍니다. D’CENT는 현재까지 하드웨어 제품 자체의 보안 침해는 보고되지 않았다고 강조하며, 해당 사건이 앱 지갑 사용과 관련된 것으로 추정하고 있습니다.
사건의 발단은 지난 9월 16일, D’CENT 측이 일부 사용자로부터 비정상적인 자산 이동에 대한 제보를 받으면서 시작되었습니다. 초기 조사 결과, 피해를 입은 사용자 대부분이 스마트폰에 키를 저장하거나 불러오는 방식의 ‘앱 지갑’을 사용하고 있었던 것으로 파악되었습니다. D’CENT는 앱 지갑으로 복구 문구(Recovery Phrase)를 입력하거나, 특정 버전(8.1.0 이전)의 앱에서 거래 서명 기록이 있는 경우 잠재적인 노출 위험이 있다고 보고 있습니다. 이는 비트코인, 이더리움, XRP 레저, 트론 등 다양한 블록체인 네트워크에 영향을 미칠 수 있습니다.
하드웨어 지갑 사용자는 종종 편의성을 위해 동일한 복구 문구를 하드웨어 지갑과 소프트웨어 지갑 모두에 사용하는 경우가 있습니다. D’CENT의 설명에 따르면, 하드웨어 기기에서 생성된 복구 문구는 해당 기기 자체에서만 안전하게 보관되는 것이 원칙입니다. 하지만 사용자가 이 복구 문구를 소프트웨어 앱 지갑에 수동으로 입력할 경우, 해당 복구 문구는 스마트폰 등 외부 기기에 노출될 위험을 안게 됩니다. D’CENT는 자체적인 하드웨어 기기 연결 시 복구 문구가 스마트폰으로 전송되지 않는다고 밝혔지만, 사용자의 직접적인 입력 행위가 보안 위험을 야기할 수 있음을 시사합니다.
이에 D’CENT는 해당 기준에 부합하는 사용자들에게 거래 서명 전에 앱을 최신 버전으로 업데이트할 것을 권고하고 있습니다. 또한, 기존 복구 문구를 사용하는 대신 새로운 복구 문구로 백업된 새 지갑을 생성하고, 기존 자산을 새로운 지갑으로 이전하는 방안을 제시했습니다. D’CENT는 현재 거래소, 법 집행 기관, 블록체인 분석가들과 협력하여 도난 자산 추적 및 동결 작업을 진행하고 있다고 밝혔습니다.
Trezor, 고객 데이터 유출로 인한 공격 표면 확대…“외부 파트너사 보안 중요”
한편, 또 다른 유명 하드웨어 지갑 제조사인 Trezor는 소프트웨어 지갑과는 다른 경로를 통해 보안 문제가 발생했습니다. Trezor는 암호화폐 자산을 보유하는 데 필수적인 복구 문구 자체의 유출이 아닌, 고객 데이터가 유출되어 공격의 표면이 확대될 수 있음을 보여주는 사례입니다. Trezor는 제3자 마케팅 서비스 제공업체인 Brevo(구 Sendinblue)의 시스템 침해로 인해 347,149명의 고객 이메일 주소가 유출되었다고 밝혔습니다.
Brevo 측의 발표에 따르면, 공격자는 Brevo의 SAML(Security Assertion Markup Language) 싱글 사인온(SSO) 구현의 취약점을 악용하여 138개의 고객 계정에 접근할 수 있었습니다. 이 중 43개 계정에서 연락처 정보가 추출되었습니다. Trezor는 이 유출된 고객 데이터가 직접적으로 하드웨어 지갑의 복구 문구나 개인 키에 접근하는 데 사용될 수는 없지만, 피싱 공격 등 2차적인 공격에 악용될 수 있다고 경고했습니다.
이는 하드웨어 지갑 제조사들이 자사의 하드웨어 기기 보안뿐만 아니라, 고객 정보 관리, 마케팅 파트너사와의 데이터 공유 및 관리, 그리고 이들 파트너사의 보안 역량까지 면밀히 검토해야 함을 의미합니다. 고객 데이터 유출은 해커들에게 공격 대상의 정보를 제공하는 셈이며, 이는 결국 암호화폐 자산 탈취 시도로 이어질 수 있는 간접적인 위협이 됩니다.
업계, 포괄적인 보안 체계 구축 촉구…“하드웨어 지갑의 진정한 가치는 생태계 보안에 달려”
이번 D’CENT와 Trezor의 사건들은 하드웨어 지갑의 보안이 단순히 기기 자체의 암호화 기술에만 국한되지 않는다는 점을 명확히 보여줍니다. 암호화폐 자기 보관의 궁극적인 목표는 사용자가 자신의 자산을 완벽하게 통제하는 것입니다. 그러나 이 통제권은 하드웨어 기기가 설치된 환경, 사용자가 이용하는 소프트웨어 앱, 그리고 이러한 서비스를 제공하기 위해 협력하는 외부 업체들의 보안 수준에 따라 달라질 수 있습니다.
많은 전문가들은 이번 사건들을 계기로 암호화폐 지갑 제조사들이 △자체 보안 감사 강화 △외부 보안 전문 업체와의 협력 증대 △고객 데이터 관리 정책 투명성 확보 △취약점 발생 시 신속하고 투명한 정보 공개 및 대응 프로세스 구축 등을 더욱 강화해야 한다고 지적합니다. 또한, 사용자에 대한 교육 강화도 중요합니다. 복구 문구의 안전한 보관 방법, 피싱 메일 및 의심스러운 링크 주의, 정기적인 소프트웨어 업데이트의 중요성 등을 지속적으로 알려야 합니다.
암호화폐 생태계가 확장됨에 따라, 공격자들 역시 더욱 정교하고 다양한 공격 기법을 동원할 것입니다. 하드웨어 지갑은 여전히 암호화폐 자산 보호의 가장 강력한 수단 중 하나이지만, 그 주변의 모든 요소들이 견고하게 구축된 보안 체계 안에서 작동할 때 비로소 진정한 가치를 발휘할 수 있을 것입니다. 앞으로 하드웨어 지갑 업계는 더욱 포괄적이고 다층적인 보안 전략을 요구받게 될 것으로 전망됩니다.