하드웨어 지갑 업체 **트레저(Trezor)**는 물류 대행사 **쉽몽크(ShipMonk)**의 데이터 침해 사고로 총 1만3,689명 고객의 주문 관련 개인정보가 유출됐다고 12일(현지시간) 밝혔다.
핵심 내용
- 트레저의 이행(fulfillment) 파트너인 쉽몽크가 해킹돼 이름, 주소, 전화번호, 이메일 등 주문 정보가 노출됐다.
- 이 가운데 1만1,742명은 전체 정보가, 1,947명은 일부 정보만 유출됐다.
- 트레저는 자사 시스템과 기기, 프라이빗키, 지갑 백업 파일은 전혀 손상되지 않았다고 강조했다.
쉽몽크 해킹으로 드러난 트레저 주문 정보
트레저에 따르면, 쉽몽크는 지난 8월 10일 내부 주문 관리 시스템에 “비인가자가 접근했다”는 사실을 트레저 측에 통보했다. 트레저는 이후 상황을 공식 블로그를 통해 공개했다.
조사 결과, 약 1만1,742명 고객의 이름, 전화번호, 이메일, 배송지가 통째로 유출됐고, 추가로 1,947명의 이름, 도시명, 이메일 주소도 노출됐다. 피해 대상은 5월 10일부터 8월 8일 사이에 주문을 넣고 미국, 영국, 스웨덴, 콜롬비아, 브라질, 이탈리아, 포르투갈로 배송을 받은 고객이다.
트레저는 “자사 인프라는 침해되지 않았고, 어떤 기기에도 악성 코드가 주입되지 않았으며, 프라이빗키나 지갑 백업 역시 전혀 접근당하지 않았다”고 밝혔다. 또 물류 파트너에 적용해 온 ‘90일 주문 데이터 자동 삭제’ 규정 덕분에 그 이전 주문 정보는 해커가 손댈 수 없었다고 설명했다. 회사 측은 “별도 안내 이메일을 받지 않은 고객은 이번 유출 대상에 포함되지 않는다”고 못 박았다.
함께 읽기: 비트코인에 3억4,300만달러 베팅한 네 명의 공매도 트레이더, 벌써 한 명은 손들었다
레저 사태가 남긴 선례… “실질 위협은 ‘피싱’”
이번 사건의 즉각적인 위험은 기기에서 자산이 털리는 ‘도난’보다, 유출된 정보를 활용한 ‘사기’에 가깝다는 평가다.
트레저는 공식 X 계정을 통해 “공격자들이 이번에 손에 넣은 개인정보를 활용해 은행, 거래소, 심지어 트레저를 사칭한 이메일·전화·우편물 발송에 나설 수 있다”고 경고했다. 그러면서 고객들에게 “긴급 조치를 요구하는 메시지는 우선 의심부터 하고, 반드시 공식 채널을 통해 사실 여부를 교차 확인하라”고 당부했다. 특히 “지갑 백업(시드 문구·복구 문구)을 어떤 웹사이트에도 직접 입력해서는 안 된다”고 거듭 강조했다.
경쟁사 **레저(Ledger)**는 2020년 비슷한 사태를 겪었다. 당시 약 27만2,000명 고객의 이름·주소·전화번호가 온라인에 그대로 유출됐고, 이후 일부 고객이 이메일로 협박·공갈성 요구까지 받았다. 보안업체 CertiK는 2026년 상반기에만 암호화폐 보유자를 노린 물리적 공격 사례 52건을 검증했는데, 이는 1년 전 39건에서 크게 증가한 수치다. 블록체인 분석사 **체이널리시스(Chainalysis)**도 이러한 공격을 통해 탈취된 암호화폐 규모가 3,000만달러를 웃돈다고 집계했다.
트레저의 과거 유출 이력과 지갑 시장 파장
트레저가 2013년 설립된 이후 고객의 전화번호와 배송지가 동시에 노출된 것은 이번이 처음이다. 과거 사고는 범위가 더 좁았다. 예컨대 2024년에는 외부 고객 지원 포털이 침해되면서 약 6만6,000명 이용자의 이름과 이메일 주소가 유출됐는데, 이 사실은 보도를 통해 확인됐다. 당시에도 고객 자산 피해는 발생하지 않았다.
트레저는 이번 사건을 계기로 “향후 노출 가능성을 줄이려면 익명 이메일 사용, 암호화폐 결제, 우체국 사서함·대체 배송지 활용이 도움이 될 수 있다”고 고객들에게 안내했다.
공시는 또 다른 악재와 맞물려 나왔다. 경쟁 하드웨어 지갑인 **콜드카드(Coldcard)**의 펌웨어 결함이 불거진 뒤 장기 보유자 지갑에서 약 23만3,000개 비트코인 (BTC)이 빠져나갔고, 이 가운데 일부는 트레저·레저 보유자들이 멀티시그 지갑으로 옮기면서 발생한 것이라고 수탁 서비스 업체 **카사(Casa)**는 분석했다.
트레저는 이에 대응해, 유럽연합(EU)에는 2026년 9월까지, 미국에는 연말까지 락커 픽업과 중립 포장(none-branded)을 활용한 ‘익명 배송(Anonymous Delivery)’ 옵션을 도입하겠다는 계획도 내놨다.
다음 읽을거리: XRP 매도 압력 지수 0.86… 5월 이후 가장 약한 수준
