하드웨어 암호화폐 지갑 업체 **트레저(Trezor)**는 물류 대행사 **쉽몽크(ShipMonk)**의 데이터 유출 사고로 총 1만3,689명 고객의 주문 관련 개인정보가 노출됐다고 12일(현지시간) 밝혔다.
핵심 내용
- 트레저의 이행(fulfillment) 파트너인 쉽몽크가 침해를 당해 이름, 주소, 전화번호, 이메일 등이 유출됨.
- 이 가운데 1만1,742명은 전체 주문 정보가, 1,947명은 일부 정보만 노출됨.
- 트레저 측은 자사 시스템·디바이스·프라이빗키·지갑 백업은 전혀 손상되지 않았다고 설명함.
쉽몽크 해킹으로 노출된 트레저 주문 데이터
트레저에 따르면 쉽몽크는 8월 10일, 고객 주문 기록을 보관하던 내부 시스템에 미승인 접근이 발생했다고 트레저 측에 통보했다. 이 사실은 트레저가 공개한 공지에서 확인됐다.
약 1만1,742명의 고객은 이름, 전화번호, 이메일 주소, 배송지 주소가 통째로 탈취됐고, 나머지 1,947명은 이름, 도시, 이메일 주소 등 일부 정보가 노출됐다. 피해 고객은 5월 10일부터 8월 8일 사이에 미국, 영국, 스웨덴, 콜롬비아, 브라질, 이탈리아, 포르투갈로 상품을 배송 받은 이들이다.
트레저는 자사 서버와 인프라는 침해되지 않았고, 어떠한 디바이스·프라이빗키·지갑 백업도 공격자 손에 넘어가지 않았다고 강조했다. 조사는 현재도 진행 중이다. 또 이행 파트너에 적용해 온 ‘90일 데이터 삭제 규정’ 덕분에 그 이전 주문 정보는 공격 범위 밖에 있었으며, 트레저로부터 개별 안내 이메일을 받지 않은 고객은 이번 유출 대상이 아니라고 설명했다.
관련 기사: 트레이더 4명, 비트코인에 3억4,300만달러 빈티지 베팅…벌써 한 명은 손들었다
레저 사례가 보여준 ‘피싱’ 후폭풍 가능성
단기적으로 가장 큰 위험은 ‘지갑에서 바로 자산이 도난당하는 것’이 아니라, 유출된 개인정보를 활용한 사기·피싱 공격이다.
트레저는 공격자들이 이번에 확보한 개인정보를 활용해 은행, 거래소, 혹은 트레저 직원인 척 이메일, 전화, 우편물을 보내는 방식으로 사용자를 기만할 수 있다고 경고했다. 회사는 “긴급 조치를 요구하는 모든 연락은 의심하고, 반드시 공식 채널과 교차 확인할 것”을 요청했다. 특히 지갑 백업(시드 문구)을 어떤 웹사이트에도 직접 입력해선 안 된다고 재차 강조했다.
경쟁사 **레저(Ledger)**는 이미 2020년에 비슷한 전례를 남겼다. 당시 약 27만2,000명의 레저 고객 이름, 주소, 전화번호가 유출돼 온라인에 유포됐고, 일부는 이후 이메일을 통해 협박·갈취를 당했다. 보안업체 CertiK는 2026년 상반기에만 암호화폐 보유자를 겨냥한 물리적 공격 52건을 확인했는데, 이는 1년 전 39건에서 크게 늘어난 수치다. 온체인 분석사 Chainalysis는 이 같은 공격을 통해 탈취된 암호화폐 규모가 3,000만달러를 넘어선다고 집계했다.
트레저 과거 유출 사례와 이용자 대응책
이번 사건은 2013년 창업 이후 트레저 고객의 ‘전화번호와 배송지 주소’까지 동시에 노출된 첫 사례다. 과거 유출은 범위가 상대적으로 제한적이었다. 대표적으로 2024년에는 외부 고객지원 포털이 침해돼, 약 6만6,000명 명단의 이름과 이메일 주소가 유출됐지만, 당시에도 고객 자산 피해는 발생하지 않았다.
트레저는 고객들에게 향후 노출 위험을 줄이기 위한 실무적 조언도 내놨다. 익명성이 높은 이메일 주소를 사용하거나, 결제에 암호화폐를 활용하고, 실제 자택이 아닌 사서함(P.O. Box)으로 배송받는 방식이다.
이번 공개는 또 다른 하드웨어 지갑 업체 콜드카드(Coldcard) 펌웨어 결함 사태의 여진과도 맞물린다. 해당 취약점 공개 이후, 장기 보유자 지갑에서 약 23만3,000개 **비트코인(Bitcoin, BTC)**이 이동했는데, 이 가운데 상당수는 트레저와 레저 이용자가 멀티시그(multi-signature) 방식으로 보안을 강화하는 과정에서 옮겨진 물량이라고 지갑 서비스 업체 Casa는 설명했다.
트레저는 이번 일을 계기로 ‘익명 배송(Anonymous Delivery)’ 옵션도 도입할 계획이다. 물류 락커 픽업과 중립적(브랜드 노출 없는) 포장을 활용해 이용자 신원을 최대한 드러내지 않는 방식이다. 유럽연합(EU)에는 2026년 9월까지, 미국에는 연말까지 서비스를 제공하는 것이 목표다.
