키스톤 침해 악화…18,835개 암호화폐 하드웨어 지갑 파기 위기

인증 키 도난으로 키스톤, 18,835대의 지갑 폐기

처음에는 고객 정보 유출로 보였던 사건이 훨씬 더 심각한 보안 문제로 발전했습니다. 2026년 10월 26일, 키스톤은 공격자들이 자사 하드웨어 지갑의 진위 여부를 확인하는 데 사용되는 인증 키도 탈취했다고 밝혔습니다.

이 회사는 침입의 원인을 공격자들이 접근 권한을 상승시킬 수 있게 해준 제3자 데이터 모니터링 도구의 취약점으로 추적했습니다. 키스톤은 10월 20일 의심스러운 활동을 감지하고, 취약한 웹사이트 기능을 비활성화한 뒤 포렌식 조사를 시작했습니다.

도난당한 WebAuth 키는 특히 골치 아픈 문제를 야기합니다. 이 키를 보유한 공격자는 키스톤의 진위 확인 절차를 통과할 수 있는 위조 기기를 제작할 수 있으며, 이로 인해 의심하지 않는 구매자들이 자산 도난 위험에 노출될 가능성이 있습니다. 키스톤은 해당 키가 제조 과정에서 영구적으로 내장되어 재기록이나 삭제가 불가능하다고 설명했습니다. 이에 따라 이 하드웨어 지갑 제조사는 유출된 키가 포함된 기존 재고 18,835대를 모두 폐기할 계획이다. 새로 제조되는 지갑에는 대체 인증 키가 탑재될 예정이다. 한편, 키스톤은 대체 제품 생산이 준비될 때까지 웹사이트 미배송 주문의 발송을 중단하고 사전 주문 방식으로 전환했다.

데이터 삭제 시스템 오류로 약 26,000건의 구매자 정보 유출

조사 결과 키스톤의 고객 데이터 관리에 심각한 결함이 드러났습니다. 조사 대상인 51,083건의 쇼피파이(Shopify) 구매자 기록 중 25,964건에는 2024년부터 2026년까지의 이름, 배송 주소, 연락처, 구매 내역 등 개인 정보가 남아 있었습니다. 키스톤은 자동 삭제 시스템의 오작동으로 인해 고객 정보가 180일 보존 정책을 초과하여 저장된 채로 남아 있었다는 사실을 인정했습니다. “당사는 고객 데이터를 제때 삭제하겠다는 약속을 지키지 못했으며, 이 실패에 대한 책임을 인정합니다”라고 회사는 밝혔습니다.

조사관들은 또한 잠재적으로 민감한 고객 정보가 포함된 미결제 결제 기록 12,873건을 확인했다. 키스톤은 해당 기록을 대응 조치에 포함시켰으며 추가 삭제 요청을 진행했다. 이 제조사는 보존 기간을 90일로 단축했으며, 10월 24일에 제출된 기한이 지난 구매자 데이터 삭제 요청이 11월 3일에 완료될 것으로 예상하고 있다. 키스톤의 이번 사후 분석 보고서는 고객 데이터 유출 사고를 겪은 보스턴 소재 하드웨어 지갑 제조사 파운데이션(Foundation)의 공개에 이어 발표된 것이다.

기존 지갑 소유자에게 새로운 보안 지침 제공

키스톤은 복구 문구, 개인 키, 지갑 인증 정보 및 결제 정보는 유출되지 않았다고 밝혔습니다. 고객들에게는 이번 사건만을 이유로 암호화폐를 이동하라는 지침이 내려지지 않았습니다. 회사 측은 10월 20일 이전에 배송된 기기는 인증을 통과하면 안전하게 사용할 수 있다고 전했습니다. 그 이후에 유출된 키를 사용하여 수령한 기기의 경우, 인증에 성공하더라도 고객 지원팀을 통한 추가 확인 절차가 필요합니다. 키스톤은 또한 기기 반품을 요구하는 사기성 리콜 메시지에 대해 고객들에게 주의를 당부했습니다. 회사는 EU, 영국 및 기타 관할 구역에 규제 보고서를 제출했으며, 침해 조회 도구를 도입하고 추가 보안 감사를 실시할 계획입니다. 제3자에 대한 신뢰를 배제하도록 설계된 기기를 판매하는 제조업체로서, 자사 하드웨어에 대한 신뢰를 확립하는 키를 분실한 것은 특히 해결하기 어려운 모순을 야기합니다.