주문 플러그인 결함으로 인해 Safepal 고객 39,798명의 개인정보 유출 사태 발생

세이팰, 새로운 고객 데이터 유출 사고 공개: 약 4만 명 사용자 피해

세이셸에 본사를 둔 지갑 제조사 세이프팔(Safepal)이 일부 사용자를 대상으로 한 보안 위기에 직면해 있습니다.

지난 일요일, 이 회사는 주문 추적에 사용되는 플러그인의 결함으로 인해 신원 미상의 공격자가 해당 정보에 접근할 수 있게 되어 39,798명의 고객이 관련된 무단 데이터 유출 사고가 발생했다고 밝혔다.

이번 데이터 유출 사고는 2025년 3월 2일부터 2026년 4월 11일 사이에 발생한 고객 주문 정보를 대상으로 했으며, 이름, 이메일 주소, 배송 주소, 전화번호, 구매 내역 등 잠재적으로 중요한 정보가 공격자에게 노출되었습니다.

회사는 이번 사고 과정에서 시드 문구, 개인 키, 지갑 비밀번호 또는 기타 지갑 인증 정보가 유출되지 않았음을 확인했다.

Safepal은 이번 유출 사고로 인해 “사기성 전화, 이메일, 문자 메시지, 서신, 환불 제안, 펌웨어 업데이트 요청, 가짜 고객 지원 연락, 악성 웹사이트 또는 지갑 인증 정보나 추가 개인 정보를 탈취하려는 기타 시도”를 포함한 정교한 피싱 시도가 발생할 수 있음을 인정했습니다.

그럼에도 불구하고 Safepal은 해당 문제를 해결했으며, 데이터 보존 기간을 90일로 단축하고 사기 수법과 연계된 30개의 가짜 웹사이트를 차단하는 등 유사한 침해 사고를 방지하기 위한 새로운 보안 조치를 시행했다고 밝혔습니다.

그럼에도 보안 연구원 테이는 배송 주소와 개인 정보가 유출된 점을 고려할 때, 이 데이터 세트가 피싱에만 사용되었을 가능성은 낮으며, 주소가 유출된 사용자들의 경우 더 큰 위험에 처해 있을 수 있다고 강조했다.

또 다른 블록체인 조사관인 스펙터(Specter)는 회사가 빠르면 4월부터 피싱 시도 신고를 받아왔음에도 불구하고 지금까지 이를 공개하지 않았다고 지적했다. 테이는 봄과 여름 동안 이번 유출과 관련이 있을 수 있는 여러 건의 사례가 보고되었다는 사실을 확인했다.

이번 유출 사건에 연루된 것으로 알려진 한 고객은 회사가 이번 공개 전에 자신의 데이터를 삭제했다고 지적하며, 세이프팔의 데이터 보존 정책을 비판했다.

세이프팔의 이번 발표는 트레저(Trezor)에서 발생한 유사한 사건에 이은 것으로, 트레저의 배송 업체인 쉽몽크(Shipmonk)가 데이터 유출 사고를 겪으면서 미국, 영국, 스웨덴, 콜롬비아, 브라질, 이탈리아, 포르투갈에 거주하는 11,742명의 고객에 대한 성명, 이메일 주소, 전화번호 및 배송 주소가 노출된 바 있다.

특히 프랑스에서 암호화폐 보유자들을 대상으로 한 이른바 ‘렌치(wrench) 공격’이 빈번하게 발생하고 있는 만큼, 이번 일련의 정보 유출 사태는 관련 사용자들에게 큰 우려를 안겨주고 있다.