비트코인 지갑 제조사 Trezor, 고객 13,689명 정보 유출 확인

비트코인(BTC) 셀프커스터디 이용자를 주 대상으로 하는 개인정보 유출 사고가 발생했다. 하드웨어 지갑 제조사 Trezor는 배송 파트너사에서 발생한 보안 침해로 고객 13,689명의 개인 정보가 노출됐다고 공식 사고 통지를 통해 확인했다. 회사 측에 따르면 이번 침해는 물류 서비스 제공업체에서 발생했으며, 기기 펌웨어나 내부 시스템이 아닌 주문 정보에 국한된다. 구체적으로 11,742명의 노출 기록에는 성명, 배송 주소, 전화번호, 이메일 주소가 포함되며, 나머지 1,947건에는 성명, 도시명, 이메일 주소만 담겼다. 영향을 받은 주문은 8월 8일 기준 이전 90일 이내에 미국, 영국, 스웨덴, 콜롬비아, 브라질, 이탈리아, 포르투갈로 발송된 신규 구매 건이다. Trezor는 90일 데이터 보존 정책 덕분에 노출 범위가 제한됐다고 설명하면서, 유출된 정보가 비트코인 및 기타 알트코인 보유자를 겨냥한 피싱이나 소셜엔지니어링 공격에 악용될 수 있다고 경고했다. 통지문은 지갑 백업을 웹사이트에 입력하거나 지원을 사칭하는 제3자에게 절대 공유하지 말 것을 강조했다. 영향받은 고객에게는 개별 연락이 진행 중이며, 추가 업데이트는 공식 채널을 통해 발표될 예정이다.

Trezor는 이번 노출 데이터에 암호학적 기밀이 일절 포함되지 않았다는 점을 명확히 했다. 개인키, 지갑 백업, 복구 시드, PIN은 모두 침해 기록 밖에 있으며, 이 사고와 관련된 사기, 해킹, 직접적 안전 위협은 확인되지 않았다고 밝혔다. 이 구분이 중요한 이유는, 이번 유출이 실제 신원과 셀프커스터디 장비 구매를 연결하기 때문이다. 이는 해당 개인이 비트코인(BTC)을 보유하고 있을 수 있다는 신호를 공격자에게 제공한다. 공격자는 이름, 전화번호, 주소를 활용해 합법적인 지원 안내를 모방한 이메일, SMS, 전화, 우편을 제작할 수 있다. 따라서 장기적 위험은 즉각적인 토큰 탈취가 아니라, 복구 구문을 스스로 입력하도록 유도하는 자격 증명 수집 또는 조작이다. Trezor는 유출 사실만으로 자산 이전을 서두를 필요는 없다고 권고하면서도, 이미 의심스러운 사이트에 지갑 백업을 입력한 이용자는 공식 지침에 따라 자산을 이동해야 한다고 밝혔다. 아울러 2026년 9월까지 유럽연합 내에서 익명 배송 옵션을 도입해 지갑 소유권과 자택 주소 간 연결을 줄이겠다는 계획이다.

이번 사고는 제3자 물류 이행이 암호화폐 인프라의 지속적 취약점임을 다시 한번 보여준다. Trezor는 영향받은 물류 파트너를 ShipMonk로 특정했으며, Amazon을 통한 구매 고객은 별도의 물류 체계를 사용하므로 이번 사고 범위에 포함되지 않는다고 설명했다. 회사는 13년 역사상 고객 전화번호와 배송 주소가 유출된 것은 이번이 처음이라고 밝히면서, 기기 펌웨어와 암호학적 보호 장치는 원격으로 침해된 적이 없다고 강조했다. 하드웨어 지갑 업계에서 유사한 공급망 패턴은 이미 나타난 바 있다. 올해 1월에는 경쟁사 Ledger의 전자상거래 파트너인 Global-e 관련 사고가 발생했으며, 그 이전에도 제3자 마케팅 또는 지원 플랫폼 침해로 성명과 이메일 주소가 노출된 사례가 있었다. 이번 사건은 블록체인 프로토콜 실패나 에어드롭 악용과는 무관하지만, 유출된 개인정보가 수년간 악용 가능하며 반복 공격의 토대가 될 수 있다는 점에서 여전히 보안상 중대한 결과를 수반한다.

Trezor의 운영 타임라인은 대응 조치를 가장 명확하게 보여준다. 회사는 8월 10일 ShipMonk로부터 시스템에 무단 접근이 있었다는 보고를 받았으며, 조사가 계속 진행 중이라고 밝혔다. 영향받은 데이터는 주로 2026년 5월 10일부터 8월 8일 사이에 발송된 신규 고객 주문을 대상으로 하며, 부분 기록의 더 작은 하위 집합에는 정확한 기간이 아직 확인 중인 더 오래된 주문이 포함될 수 있다. 사고 대상 고객에게는 공식 주소 help@trezor.io에서 알림이 발송되며, Trezor는 알림 이메일을 받지 못한 이용자는 영향받지 않은 것이라고 설명했다. 또한 하드웨어 기기 자체는 안전하다고 재확인하면서, 전화·이메일·SMS·우편을 통한 사칭에 대한 경계를 당부했다. 이 사건은 비트코인의 역대 최고가와 연계된 가격 촉매는 아니지만, 셀프커스터디 서비스에 대한 운영 신뢰 기준을 높이는 계기가 된다. 시정 조치의 일환으로 전용 체크아웃, 로커 픽업, 무지 포장을 결합한 익명 배송 모델을 계획하고 있으며, 이는 제품 배송과 식별 가능한 소유권을 분리하기 위한 움직임이다.

COINOTAG의 분석은 이번 업데이트를 하나의 주제로 수렴한다. 비트코인 생태계의 보안 경계가 이제 암호학을 넘어 물류와 신원 관리까지 확장되고 있다는 것이다. 공식 사고 보고서는 근본 원인을 Trezor 기기의 결함이 아닌 ShipMonk에서의 무단 접근으로 특정했으며, 시정 조치에는 고객 통지, 90일 데이터 삭제, 익명 배송 계획이 포함된다. 온체인 증거는 이 공개와 연관된 자금 탈취나 공격자 트랜잭션이 없음을 보여준다. 개인키나 복구 시드가 노출되지 않았기 때문이다. 잔존 위협은 소셜엔지니어링에 국한된다. 사후 분석이 완료될 때까지 영향받은 사용자는 예상치 못한 지원 메시지를 기본적으로 적대적으로 간주하고, 지갑 백업을 어떤 웹사이트, 전화, 우편 양식에도 제출하지 말아야 한다.