Gnosis Pay 데이터 유출로 고객 정보 노출

Gnosis Pay에 무슨 일이 있었나요?

이 암호화폐 결제 서비스 제공업체는 모니터링 시스템이 무단 접근을 감지한 지 3일 만에 해당 사고를 공개했다. Gnosis Pay의 데이터 유출 관련 최신 발표에 따르면, 이번 침입은 화이트라벨 결제 프로그램을 지원하는 기업용 플랫폼이 아닌, B2C(기업 대 소비자) 카드 인프라에 영향을 미쳤다.

“2026년 11월 3일, 당사의 모니터링 시스템이 Gnosis Pay 브랜드 카드(당사의 B2C 사업 부문)를 운영하는 시스템에 대한 무단 접근을 감지했으며, 이로 인해 일부 고객 정보가 유출되었습니다”라고 회사는 설명했다.

Gnosis Pay는 보안 담당자들이 즉시 대응하여 탐지 후 2시간 이내에 확산 방지 조치를 시작했다고 강조했다. 이후 회사는 영향을 받은 인증 정보를 교체하고 침입의 원인이 된 취약점을 해결했다.

“이번 데이터 유출 사고는 2026년 12월 20일 폐지가 예정되어 있던 ‘Gnosis Pay’ 브랜드 카드를 운영하는 시스템으로 한정되었습니다,”라고 Gnosis Pay는 밝혔습니다. “당사의 모든 화이트라벨 카드 프로그램을 지원하는 기업용 플랫폼은 영향을 받지 않았습니다.”

이 회사는 얼마나 많은 고객의 정보가 유출되었는지 공개하지 않았으며, 노출된 정보에 대한 포괄적인 목록도 발표하지 않았다. 대신, 영향을 받은 카드 소지자들에게는 어떤 계정 기록에 접근되었는지 상세히 설명한 개별 알림이 발송되었다.

노출된 Gnosis Pay 지갑 주소는 이름 및 거주지 주소와 함께 공개되었습니다.

이 사건의 잠재적 영향은 일반적인 결제 카드 사기를 넘어선다. 암호화폐 포트폴리오 추적 서비스 ‘Rotki’의 설립자 레프테리스 카라페차스(Lefteris Karapetsas)는 유출된 정보에 자신의 성명, 거주지 주소, 카드 번호 및 계정과 연결된 모든 암호화폐 지갑 주소가 포함되어 있다고 밝혔다.

“정말 실망스럽습니다. 이미 저를 고객으로 잃은 건 사실이지만, 적어도 제 데이터는 보호해 줄 수 있었을 텐데…. 정말 유감스럽네요,”라고 카라페차스는 적었습니다.

이번 유출 사건은 자가 관리형 암호화폐 결제를 둘러싼 불편한 모순을 여실히 보여준다. 고객이 디지털 자산에 대한 통제권을 보유하더라도, 중앙 집중식 결제 인프라는 여전히 신원이 확인 가능한 개인을 공개적으로 추적 가능한 블록체인 주소와 연결하는 정보를 축적할 수 있다.

이러한 정보의 결합은 특히 금융 정보에 거주지 주소가 동반될 경우, 표적형 피싱, 사칭, 그리고 잠재적으로 물리적 위협의 기회를 만들어 냅니다. 그러나 현재까지 공개된 정보만으로는 유출된 기록이 이미 그러한 목적으로 악용되었다고 단정할 수는 없습니다.

실망한 사람은 카라페차스 뿐만이 아니었다. “세 번째 해킹이 일어나지 않도록 내일 서비스를 중단해 주실 수 있나요?” 한 X 사용자가 이 주제에 대한 Gnosis Pay의 X 게시물에 댓글을 달았다. “당신들을 철저히 고소하려면 어떤 주소로 해야 하나요?” 또 다른 X 계정이 물었다.

Gnosis Pay, 보안 침해 사고 이후 3D Secure 검증 도입

Gnosis Pay는 온라인 카드 결제에 대해 3D Secure 인증을 의무화하고, 의심스러운 카드 및 지갑 활동에 대한 모니터링을 강화했습니다. 이러한 보안 조치는 소비자 시스템이 예정된 12월 20일 서비스 종료 시까지 유지될 예정입니다. “진심으로 사과드립니다,”라고 회사는 밝혔습니다. Gnosis Pay는 다음과 같이 덧붙였습니다.

“고객님의 개인정보가 유출된 것이 얼마나 심각한 문제인지 잘 알고 있으며, 이러한 일이 발생한 점에 대해 깊이 유감스럽게 생각합니다. 자금에는 영향이 없었지만, 개인정보의 보안 역시 그만큼 중요하다는 점을 잘 인식하고 있습니다.”

이 업체는 또한 관련 데이터 보호 당국과 소통하는 한편, 파트너사 및 카드 발급사에도 이 사실을 통보했습니다. Gnosis Pay는 포괄적인 보안 검토를 진행 중이며, 유출된 정보가 악용되고 있는 증거를 파악하기 위해 전문가의 모니터링을 마련하고 있다고 밝혔습니다. 회사는 다음과 같이 경고했습니다:

“Gnosis Pay, 제휴 앱 또는 귀하의 카드와 관련하여 예상치 못한 이메일, 문자, 전화 또는 편지가 도착할 경우, 설령 실제 정보나 실제 구매 내역이 포함되어 있더라도 의심해 주시기 바랍니다.”

“시드 문구, 개인 키, PIN 또는 전체 카드 번호를 절대 공유하지 마십시오.”라고 Gnosis Pay는 덧붙이며, 정식 담당자는 절대로 민감한 인증 정보를 요청하거나 원치 않는 연락을 통해 고객에게 자금을 이체하도록 지시하지 않을 것이라고 강조했습니다.

이번 11월 공개는 2026년 6월 발생한 별도의 Gnosis 관련 인프라 사고에 이은 것으로, 당시 사고로 인해 약 150만~180만 달러의 손실이 발생한 것으로 알려졌으며, Gnosis는 이후 이를 보상한 바 있습니다.

해당 사건과 달리, 이번 침해 사고는 즉각적인 자산 관리 문제보다는 주로 개인의 사생활을 위협합니다. 그럼에도 불구하고, 유출된 신원 기록이 투명한 블록체인 거래와 개인을 영구적으로 연결시킬 수 있다는 점을 고려할 때, 이러한 구분은 큰 위안이 되지 못합니다.

취약한 인프라를 폐기하면 해당 시스템을 통한 향후 위험 노출은 방지할 수 있겠지만, 이미 유출된 민감한 개인정보를 되돌릴 수는 없습니다. Gnosis Pay는 고객 자금은 여전히 안전하다고 밝혔으나, 노출된 신원 정보, 거주지 주소, 암호화폐 지갑 연결 정보는 단순히 되돌릴 수 없는 개인정보 보호 위험을 초래합니다.

Gnosis Pay 사건은 2026년 암호화폐 업계에서 잇달아 발생한 일련의 데이터 유출 사고에 이은 것이다. 1월에는 Ledger가 고객 정보를 유출했고, 이어 Safepal의 유출 사고로 약 4만 명의 고객이 영향을 받았으며, Trezor의 침해 사고로 약 8만 1천 명이 피해를 입었다. 키스톤(Keystone)은 10월 해킹 사고로 약 2만 6천 건의 구매자 기록이 유출되었으며, 체인애널리시스(Chainalysis)는 사용자 인증 정보 및 인증 토큰이 유출된 사고를 공개했다.