**트레저(Trezor)**가 미국 물류 파트너 업체의 보안 사고로 추가 6만7,000명의 고객 정보가 노출됐다고 밝히면서, 확인된 전체 피해 규모가 8만 명을 넘어섰다.
핵심 내용
- 미국 고객 6만7,000명의 주문 정보가 추가로 유출돼, 확인된 전체 피해자는 8만 명을 상회.
- 새로 확인된 기록은 2019년 11월부터 2021년 8월 사이 주문 건.
- 트레저는 자사 시스템·디바이스·프라이빗 키·지갑 백업은 침해되지 않았다고 재차 강조.
트레저 고객 정보 유출 규모 확대
트레저는 9월 4일 업데이트 공지를 통해, 2019년 11월부터 2021년 8월 사이에 이뤄진 미국 내 주문과 연관된 고객 6만7,000명의 정보가 추가로 노출됐다고 밝혔다.
유출된 데이터에는 이름, 이메일 주소, 전화번호, 배송지 주소, 주문 번호 등이 포함되며, 새롭게 피해 대상이 된 고객들에게는 모두 이메일로 개별 통지가 이뤄졌다.
트레저의 물류·배송을 담당해 온 ShipMonk는, 트레저 측이 반복적으로 데이터 삭제를 요청하고 계약 및 데이터 정책에 따라 삭제 완료 확인까지 했음에도 해당 기록을 자사 시스템에 보관해 온 것으로 드러났다. 트레저는 “삭제 확인을 받았음에도 데이터가 시스템 내에 남아 있었던 점에 대해 매우 유감스럽게 생각한다”고 밝혔다.
이번 추가 확인으로 트레저가 파악한 전체 유출 건수는 8만 건을 넘어섰다. 트레저는 8월 첫 공지에서 1만1,742명의 고객에 대해 이름, 이메일, 전화번호, 배송지가 노출됐고, 1,947명은 보다 제한된 정보가 유출된 것으로 보고한 바 있다.
참고 기사: 비트코인, 2024년 이후 ‘최강의 한 달’ 기록했지만 피델리티는 아직 바닥 선언 안 해
암호화폐 보안 리스크 확산
트레저는 자사 서버와 하드웨어 지갑 시스템 자체는 침해되지 않았으며, 프라이빗 키, 지갑 백업, 디바이스 시크릿 등 핵심 보안 요소는 유출되지 않았다고 강조했다. 이에 따라 트레저 하드웨어 지갑의 암호화 기능과 자산 보호는 정상적으로 유지되고 있다는 입장이다.
다만 고객 정보 유출로 인해 하드웨어 지갑 사용자의 신원이 특정되고, 이 정보를 바탕으로 실제와 유사하게 꾸민 정교한 사기와 표적 공격이 가능해졌다는 점이 핵심 리스크로 부각된다.
트레저는 피해 고객들에게 실제 발송 이메일을 사칭한 피싱 메일, 사기성 전화 및 우편 물, 나아가 실거주지 노출에 따른 물리적 위협 가능성에 유의하라고 경고했다. 단순 온라인 계정 보안을 넘어, 실물 보안까지 위협받는 사건이라는 의미다.
보안업체 TRM Labs는 그간 “셀프 커스터디(자가 보관)가 리스크를 제거하는 것이 아니라, 보안 체인의 다른 지점으로 위험을 전가할 뿐”이라고 지적해 왔다. 이번 사례 역시, 지갑 자체는 안전하더라도 배송 기록을 통해 지갑 소유자의 신원, 연락처, 주거지가 노출되는 구조적 취약점을 드러낸 셈이다.
이번 사고는 8월 13일 처음 공개됐다. 당시 트레저는 ShipMonk의 침해 사고로 약 1만3,689명의 고객이 영향을 받았으며, 대다수는 90일 데이터 보관 정책에 따른 최근 주문 기록이 노출된 것으로 파악된다고 설명했었다.
이후 조사에서 2019년까지 거슬러 올라가는 과거 주문 데이터가 ShipMonk 시스템 내에 잔존해 있었던 사실이 뒤늦게 확인되면서, 트레저가 계약상 요구했던 데이터 삭제가 실제로는 이행되지 않았음이 드러났다.
