트레저 배송 업체, 13,689명의 암호화폐 고객을 사기 위험에 노출시켜

트레저의 보안 업데이트에 따르면, 영향을 받은 고객들은 8월 8일 이전 90일 동안 미국, 영국, 스웨덴, 콜롬비아, 브라질, 이탈리아 또는 포르투갈에서 주문을 받은 것으로 나타났다고 트레저는 밝혔다. 이 하드웨어 지갑 제조사는 Shipmonk가 8월 10일 고객 데이터가 저장된 시스템에 대한 무단 접근 사실을 통보했다고 밝혔다.

트레저에 따르면 11,742명의 고객에 대해 성명, 이메일 주소, 전화번호, 배송 주소가 유출되었으며, 1,947명의 고객에 대해서는 이름, 거주 도시, 이메일 주소 등 일부 정보가 유출되었다.

하드웨어 지갑은 암호화폐를 관리하는 데 사용되는 개인 인증 정보를 오프라인 상태로 보관하도록 설계된 물리적 장치입니다. 흔히 ‘개인 키’라고 불리는 이러한 인증 정보는 이번 사고에서 유출되지 않았습니다. 트레조르는 X를 통해 “영향을 받은 모든 고객에게 개별적으로 이메일을 통해 연락을 드렸습니다. 당사의 시스템과 기기는 여전히 안전하지만, 영향을 받은 고객들은 피싱 시도가 증가할 수 있습니다”라고 설명했습니다.

당면한 위험은 신원 도용

더 시급한 우려 사항은 피싱입니다. 피싱은 범죄자들이 신뢰할 수 있는 기업, 은행 또는 기타 서비스로 위장하여 사람들을 속여 민감한 정보를 넘겨받으려는 사기 수법입니다.

이 회사는 고객 공지문을 통해 “사기꾼들은 유출된 정보를 이용해 가짜 이메일을 보내거나, 가짜 전화를 걸거나, 사기성 서신을 발송하거나, 심지어 은행, 암호화폐 거래소, 심지어 트레저(Trezor)까지 사칭할 가능성이 있다”고 밝혔다.

이러한 위험은 하드웨어 지갑 소유자에게 특히 심각합니다. 도둑들이 ‘복구 문구’라고도 불리는 지갑 백업을 입수하려 할 수 있기 때문입니다. 복구 문구를 통해 암호화폐 지갑에 대한 접근 권한을 복원할 수 있으므로, 이를 입수한 사람은 누구나 지갑 내 자금을 빼낼 수 있습니다.

트레저(Trezor)는 고객들에게 웹사이트에 지갑 백업 정보를 절대 입력하거나 누구와도 공유하지 말 것을 촉구했다. 또한 긴급한 조치나 개인 정보를 요구하는 메시지는 의심스럽게 여기고, 트레저의 공식 채널을 통해 해당 내용을 확인할 것을 권고했다.

배송 파트너가 데이터를 보유 중

Shipmonk는 제품을 보관하고 구매자에게 주문을 배송하는 물류 업체입니다. Trezor는 이러한 파트너사가 수취인의 이름, 주소, 전화번호, 이메일 주소 등 기본적인 배송 정보를 필요로 한다고 설명했습니다.

트레저 측은 자사의 시스템, 제품 및 서비스는 침해되지 않았다고 강조했다. 회사는 “트레저 기기는 여전히 완전히 안전하고 보안이 유지되고 있다”고 밝히며, 정상적인 운영이 계속되고 있다고 덧붙였다.

회사는 90일 데이터 보존 정책 덕분에 침해의 영향을 제한할 수 있었다고 설명했다. 트레저(Trezor)는 배송, 반품, 환불 및 교환에 필요한 기간이 경과한 후, 배송 파트너사가 배송 완료 90일 이내에 고객 주문 데이터를 삭제하거나 익명화하도록 요구하고 있다.

“유일한 실질적인 영향은 피해를 입은 고객들이 이메일, 전화 또는 우편을 통해 더 많은 피싱 시도를 접할 수 있다는 점입니다”라고 트레조르는 밝혔다. 또한 피해 고객들에게는 help@trezor.io을 통해 직접 연락이 갔으며, 해당 통지를 받지 못한 사람들은 영향을 받지 않았다고 설명했다.

하드웨어 지갑 업계에서는 이전에도 유사한 사례가 있었다

이번 사건은 하드웨어 지갑 제조사와 관련된 최초의 고객 데이터 유출 사고가 아닙니다. 또 다른 주요 제조사인 레저(Ledger)는 2020년에 자사의 전자상거래 및 마케팅 데이터베이스와 관련된 유출 사고를 겪은 바 있습니다.

이 사건으로 약 100만 개의 이메일 주소가 유출되었으며, 이후 이름, 우편 주소, 전화번호, 주문 내역 등을 포함한 약 27만 2천 건의 더 상세한 고객 기록이 추가로 유출되었다.

레저 사건은 지갑 기술 자체가 안전하더라도 암호화폐 소유권과 연계된 개인정보가 범죄자들에게 왜 가치 있는 대상이 될 수 있는지 보여주었습니다. 이는 사기꾼들이 특정 고객을 대상으로 믿을 만한 메시지를 작성하는 데 활용될 수 있기 때문입니다. 트레저는 목요일, 더 사생활이 보호되는 배송 방식을 마련 중이라고 설명했습니다.

이 회사는 다음과 같이 밝혔습니다: "현재 ‘익명 배송(Anonymous Delivery)’ 옵션을 개발 중이며, EU의 경우 9월까지, 미국의 경우 연말까지 서비스를 제공할 계획입니다. 이를 통해 고객은 구매 내역을 거주지 주소나 실명과 연결하지 않고도 하드웨어 지갑을 더 안전하게 주문할 수 있게 될 것입니다."

트레조르는 또한 조사가 진행되는 동안 Shipmonk가 영향을 받은 시스템의 보안을 확보하고 강화했다고 추가로 밝혔습니다. 고객들은 향후 업데이트 소식을 주시해야 하며, 트레조르는 9월까지 유럽연합(EU)에서, 2026년 말까지 미국에서 익명 배송 서비스를 도입할 계획입니다.