트레저, 한 달 새 두 번째 외부사고…공식 도메인 악용한 피싱 이메일 기승

Phishing emails sent through Trezor’s legitimate domain followed a breach at a third-party provider (Image: Shutterstock)

**트레저(Trezor)**가 외부 이메일 서비스 제공업체 해킹으로 인해 자사 공식 도메인에서 피싱 메일이 발송됐다며 고객들에게 주의보를 발령했다. 이는 최근 한 달 사이 고객에게 영향을 준 두 번째 외부(서드파티) 보안 사고다. 앞선 사고에서는 약 8만700명 분량의 고객 정보가 노출된 것으로 파악됐다.

핵심 내용

해킹당한 외부 이메일 서비스 업체를 통해, 공격자가 트레저의 공식 도메인에서 발송된 것처럼 보이는 가짜 ‘보안 경고’ 메일을 발송할 수 있었던 것으로 드러났다.

하드웨어 지갑 업체 비트박스(BitBox) 역시 유사한 피싱 캠페인을 보고했으며, 발신자 정보가 공식 계정으로 표시돼 일반적인 피싱보다 식별이 훨씬 어려웠다.

앞서 물류업체 십몽크(ShipMonk) 해킹으로 약 8만700명에 달하는 트레저 고객의 개인정보가 유출돼, 표적 피싱 공격 위험이 커졌다는 우려가 나온다.

트레저 도메인 악용한 피싱 메일

외부 이메일 서비스 제공업체의 보안 침해로 인해, 공격자는 트레저의 공식 도메인을 사용해 “Critical Security Alert: STM32 Entropy Vulnerability(중대한 보안 경고: STM32 엔트로피 취약점)”라는 제목의 가짜 경고 메일을 유포했다. 트레저는 9월 9일 이 메일이 자사에서 발송한 것이 아니며 피싱 시도라고 공지하고, 메일 내 링크 클릭이나 안내에 따르지 말라고 당부했다. 회사는 해당 도메인을 일시적으로 차단했다.

트레저는 공지에서 “제목이 ‘Critical Security Alert: STM32 Entropy Vulnerability’인 이메일은 저희가 발송한 것이 아니며 피싱 공격입니다”라고 명시했다.

같은 날 스위스 비트코인(Bitcoin) 하드웨어 지갑 제조사 비트박스(BitBox) 역시 자사 명의를 도용한 유사 피싱 캠페인이 돌고 있다고 밝혔다. 크립토 평론가 **마르첼로 파즈(Marcello Paz)**는 트레저 로고와 공식 도메인, 공식 서명이 포함된 이메일 화면을 공개했는데, 일반적인 피싱 메일과 달리 외형만 보면 진짜 공지와 거의 구별이 어려운 수준이었다.

레저(Ledger) 사례와 보안 맥락

이번 사건에서 특히 문제로 지적되는 부분은 ‘합법적인 발신 도메인’이 사용됐다는 점이다. 눈에 보이는 이메일 주소만 확인해서는 피싱 여부를 가려내기 어려웠다는 의미다. 파즈에 따르면 메일은 고객들에게 “신형 기기에 영향을 미치는 치명적 취약점”을 이유로 하드웨어 지갑 펌웨어를 즉시 업데이트하라고 요구했다. 트레저는 현재 해당 접근이 어떻게 이뤄졌는지 조사 중이다.

이번 이메일 사고는 트레저의 새 기기인 Safe 7에 탑재된 TROPIC01 칩과 관련해 6월에 공개된 하드웨어 보안 이슈와는 별개의 사안이다.

당시 레저의 보안 연구팀 Donjon은 연구소 환경에서 레이저 장비를 활용해 칩의 펌웨어 검증 메커니즘을 우회하는 실험 공격을 선보인 바 있다. 트레저는 이 공격이 고도의 실험실 환경에서만 가능하며 실제 사용자 자산은 안전하다고 재차 강조했다.

레저는 2020년에도 해킹 사고로 27만 명이 넘는 고객의 이름, 이메일 주소, 전화번호, 일부는 자택 주소까지 유출된 바 있다. 이후 수년에 걸쳐 고객을 노린 스미싱·피싱 공격이 이어졌다.

연쇄되는 서드파티 리스크

트레저의 이번 경고는 앞서 8월에 공개된 배송업체 십몽크 사고에 이은 것이다. 당시 트레저는 십몽크 시스템 침해로 약 1만3,700명의 고객 정보가 노출됐다고 먼저 발표했으나, 추가 조사에서 9월 4일 미국 고객 6만7,000명이 더 포함된 것으로 드러났다. 이에 따라 이번 사고로 영향을 받은 고객 수는 총 약 8만700명으로 집계됐다.

고객 이름·연락처·배송 정보 등이 외부에 노출되면, 공격자는 이를 바탕으로 실제 구매 내역과 주소를 알고 있는 것처럼 위장해 신뢰를 높인 피싱·사기 메일을 보내기 쉬워진다. 이번처럼 공식 도메인까지 악용될 경우, 사용자가 육안으로 진위를 가려내기는 더욱 어려워진다.

트레저는 고객들에게 “보안 경고나 업데이트 안내 이메일을 받더라도 링크를 직접 클릭하기보다, 공식 웹사이트 주소를 수동으로 입력해 접속하고, 지갑 애플리케이션 내 공지나 공식 채널을 통해 내용을 교차 확인해 달라”고 당부했다.

다음 기사: Hunter Biden’s LAPTOP Crashes Over 99%, Erases Most Of $200B-Plus FDV In Hours

Alexey Bondarev

Alexey Bondarev는 Yellow.com의 콘텐츠 책임자로, 지난 10년 동안 암호화폐 분야를 취재해 왔습니다. 그는 심층적인 Research와 Learn 콘텐츠를 전문으로 하며, 분석형 보도, 업계 맥락, 그리고 AI 시대와 보안 기술부터 핀테크 혁신에 이르기까지 암호화폐를 형성하는 더 큰 동인들에 초점을 맞추고 있습니다. 그는 모든 디지털이 곧 모든 아날로그를 앞지르게 될 것이라 믿으며, 그것을 현실로 만들기 위해 꾸준히 노력하고 있습니다.

면책 조항 및 위험 경고: 이 기사에서 제공되는 정보는 교육 및 정보 제공 목적으로만 제공되며 저자의 의견을 바탕으로 합니다. 이는 재정, 투자, 법적 또는 세무 조언을 구성하지 않습니다. 암호화폐 자산은 매우 변동성이 크고 높은 위험에 노출되어 있으며, 여기에는 투자금 전부 또는 상당 부분을 잃을 위험이 포함됩니다. 암호화폐 자산의 거래나 보유는 모든 투자자에게 적합하지 않을 수 있습니다. 이 기사에 표현된 견해는 저자(들)의 견해일 뿐이며 Yellow, 창립자 또는 임원의 공식적인 정책이나 입장을 나타내지 않습니다. 투자 결정을 내리기 전에 항상 자신만의 철저한 조사(D.Y.O.R.)를 수행하고 면허를 가진 금융 전문가와 상담하십시오.

최신 뉴스

모든 뉴스 보기

첫 폴더블폰 ‘아이폰 듀오’ 1,999달러에 책정…삼성에 커진 부담

1시간 전

애플이 첫 폴더블폰 ‘아이폰 듀오’를 1,999달러부터 내놓으며 프리미엄 폴더블 시장 재편을 예고했다. 삼성 갤럭시 Z 폴드 8과 정면승부다.

앤트로픽 “도난된 로그인 세션 탓에 유료 클로드 구독이 털리고 있다”

10시간 전

인포스틸러 악성코드가 클로드 세션 쿠키를 훔쳐 유료 사용량을 빼가는 공격이 확산 중이다. 일부 이용자는 수주간 계정 접근을 잃었다.

컨센시스 분할로 메타마스크 독립 법인 전환…IPO 일정은 여전히 안갯속

12시간 전

컨센시스가 지갑·소비자 사업을 메타마스크로 분리, 인프라는 새 컨센시스가 맡지만 상장·토큰 계획은 결정 보류 상태다.