키스톤 지갑 데이터 유출로 구매자 주소 사기꾼에게 노출

키스톤 고객 데이터 유출로 구매자들이 표적 사기에 노출되다

암호화폐 비밀 정보를 오프라인에 안전하게 보관하도록 설계된 하드웨어 지갑이 전혀 다른 곳, 즉 온라인 스토어에서 보안 문제를 겪었습니다. 지난 토요일, 키스톤은 동부 표준시 기준 오후 1시 59분에 무단 접근자가 자사 웹사이트를 통해 고객의 배송 정보를 입수했으며, 이로 인해 사기꾼들이 회사를 사칭하는 데 필요한 개인 정보를 확보했을 가능성이 있다고 밝혔습니다.

키스톤은 복구 문구, 개인 키 및 결제 정보는 유출되지 않았다고 강조하지만, 이번 사건은 소유자의 신원과 주소가 노출되었을 때 오프라인 지갑이 과연 어느 정도의 보호 기능을 제공하는지에 대한 불편한 의문을 제기한다.

키스톤, 무단 접근 사실 확인

키스톤은 X를 통해 10월 20일 의심스러운 접속을 감지했으며, 이후 전자상거래 서비스 제공업체인 쇼피파이(Shopify)와의 애플리케이션 프로그래밍 인터페이스(API) 활동을 조사했다고 밝혔다. 10월 23일까지 회사는 무단 제3자가 고객 이름, 연락처 정보, 배송 주소 및 구매 내역을 입수했음을 확인했다.

이 회사는 침입을 차단하고, 취약점을 수정했으며, 영향을 받은 고객들에게 알리기 시작했다고 밝혔다. 그러나 키스톤은 얼마나 많은 구매자의 정보가 유출되었는지, 또는 무단 접근이 정확히 어떻게 발생했는지에 대해서는 공개하지 않았다.

사기꾼들에게 잠재적 기회 제공

당면한 위험은 반드시 누군가가 원격으로 하드웨어 지갑을 비우는 것만이 아닙니다. 정당한 고객 정보를 이용해 설득력 있는 사기를 꾸미는 것이 더 큰 문제입니다. 키스톤은 고객들에게 사기성 환불 제안, 기기 교체 제안, 민감한 정보를 요구하는 원치 않는 메시지에 대해 경고했습니다. 회사는 복구 문구나 개인 키를 절대 요청하지 않는다고 강조했습니다.

한 X(X) 사용자는 키스톤이 공격을 확인하기 하루 전에 이 문제에 대해 글을 올렸습니다. “고객 데이터베이스가 유출되었을 가능성이 99%라고 확신하기 때문에 여기에 경각심을 불러일으키고자 합니다. 몬트리올 SPVM 번호를 사칭한 전화를 받았는데, 상대방이 저를 상대로 사회공학적 기법을 시도했습니다"라고 X 계정 ‘OG Degen’은 적었습니다. 고객들은 예상치 못한 링크를 클릭하기보다는 키스톤의 공식 웹사이트를 통해 연락 내용을 직접 확인해야 합니다.

2026년, 하드웨어 지갑 보안에 또 한 번의 타격

키스톤의 이번 공개는 하드웨어 지갑 제조사들에게 힘든 한 해가 지나간 뒤 나온 것입니다. 콜드카드(Coldcard)는 시드 생성 무작위성이 취약한 대규모 버그와 상당한 추정 손실을 겪었고, 레저(Ledger)는 리셀러를 통해 유통된 기기가 조작되었다는 보고에 직면했습니다.

트레저(Trezor)와 세이프팔(Safepal) 역시 제3자 주문 처리 또는 주문 시스템과 관련된 고객 정보 유출 사고를 공개했다. 복구 문구가 유출된 사건들과는 달리, 이러한 정보 유출은 주로 피싱 및 사칭의 기회를 제공했다. 키스톤의 경우, 암호학적 방어 체계는 견고하게 유지된 것으로 알려졌다. 우려되는 점은 고객의 개인정보가 이에 상응하는 수준의 보호를 받았는지 여부다.