**레볼루트(Revolut)**가 일부 고객에게 여권 사본, 자택 주소, 그리고 비트코인 (btc) 전체 거래 내역이 위조된 정부 요청을 통해 제3자에게 전달됐다고 통보한 사실이 알려졌다.
핵심 내용
- 레볼루트는 사기성이 있는 정부 요청을 정식 공문으로 오인해, 고객 신분증과 비트코인 거래 내역을 외부로 제공했다.
- 회사 측은 고객 자산은 안전하며 감독당국에 신고를 마쳤다고 밝혔지만, 어느 기관이 사칭됐는지와 영향받은 고객 수는 공개하지 않았다.
- 조사자들은 유출 범위가 비교적 제한적이며, 주로 고액 자산가 계정을 겨냥한 정밀 공격으로 보인다고 전했다.
레볼루트 통지서, 비트코인 노출 범위 드러나
레볼루트는 9월 11일 늦은 시각 영향받은 고객들에게 이메일을 보냈고, 온체인 분석가 ZachXBT는 몇 시간 뒤 자신의 텔레그램 채널에서 해당 통지서를 공개했다.
통지에 따르면 문제의 요구는 실제 정부 기관 도메인 내에서 생성된 ‘무단 계정’으로부터 들어왔으며, 도메인 인증 정보도 진짜였다. 레볼루트는 요청이 정당하다는 “합리적 신뢰”가 있다며 이를 처리했다고 설명했다.
외부로 제공된 정보에는 고객의 성명, 생년월일, 직업, 자택 주소, 이메일, 전화번호, 여권 또는 운전면허증 사본과 계좌 개설 시 촬영한 셀피 사진까지 포함됐다.
또한 IBAN이 적힌 계좌 명세서, 계좌 개설일, 지갑 참조 번호, 출금 기록과 함께 비트코인을 포함한 전체 거래 내역이 전달된 것으로 나타났다.
레볼루트는 뒤늦게 해당 정부 기관 측에 진위 확인을 요청하는 과정에서, 그 기관 도메인 안에 무단 계정이 숨어 있었다는 사실을 알렸다고 밝혔다. 회사는 고객 자금은 위험에 노출되지 않았고 비밀번호도 유출되지 않았다고 강조했다. 감독당국에도 이미 보고를 마쳤지만, 정확한 피해 규모는 여전히 비공개다.
관련 기사: 이더리움, ETF 자금 2억1,600만달러 유입 후 2,800달러대 공급 벽 직면
ZachXBT와 카펠레스, 레볼루트에 압박
ZachXBT는 이번 사고가 규모 면에서는 제한적인 편으로 보이지만, 공격 대상이 주로 고액 자산가 고객인 점을 지적했다. 그는 이어 레볼루트의 X(옛 트위터) 공식 계정 두 곳이 자신을 차단한 화면을 공개하며, 회사가 사건과 관련해 대외 공지를 했는지 확인하려 했다고 밝혔다.
마크 카펠레스(Mark Karpelès) 전 마운트곡스(Mt. Gox) 최고경영자 역시 제목이 ‘귀하의 레볼루트 계정에 대한 긴급 보안 업데이트’인 경고 메일을 받았다며, 해당 메일의 주요 내용을 X에 공개했다.
카펠레스는 레볼루트나 사칭 피해를 입은 정부 기관이 실명을 공개해야 한다고 주장했다. 그래야 다른 은행·거래소들도 자사 법 집행 요청 기록에서 같은 메일 주소로 온 요청이 있는지 역추적할 수 있다는 논리다.
한편 레볼루트 고객지원 계정은 관련 보도에 대해 회사가 고객 프라이버시를 매우 중시하고 있다는 취지로 답변했다.
비트코인 거래 기록, 표적 리스크 키운다
퍼블릭 블록체인은 코인 이동 경로는 투명하게 드러내지만, 여권 사본·직업·실제 거주지 같은 신상정보는 포함하지 않는다. 여기에 실명·여권·거주지와 같은 ‘검증된 신원’ 정보가 전체 거래 내역과 결합되면, 단순한 컴플라이언스 자료가 곧 “누가 무엇을 얼마나 보유하고, 어디에 사는지”를 보여주는 정밀 지도로 변한다.
레볼루트는 과거에도 데이터 보안 이슈에 휘말린 바 있다. 2022년 9월 리투아니아 개인정보보호당국은, 레볼루트 직원 대상 사회공학 공격으로 5만150명 고객 정보가 노출됐다고 기록했다.
2026년 7월에는 레볼루트 고객 7,500만명 분량의 데이터가 해킹 포럼에 올라왔다는 주장도 나왔지만, 레볼루트는 해당 데이터셋이 조작됐을 가능성이 크다며 진짜 유출이 아니라는 입장을 밝혔다.
