비트코인 지갑 사용자, Trezor 침해로 1만 3,689명 정보 노출

암호화폐 뉴스

비트코인(BTC) 보유자 중 5월 10일부터 8월 8일 사이 Trezor 하드웨어 지갑을 주문한 고객들이 새로운 오프체인 리스크에 직면했다. Trezor는 물류 대행 파트너 ShipMonk에서 데이터 침해가 발생해 고객 1만 3,689명의 주문 기록이 유출됐다고 밝혔다. 다만 Trezor 자체 인프라가 아닌 물류 단계의 사고이며, 하드웨어 기기·프라이빗 키·지갑 백업은 영향을 받지 않았다고 강조했다. 회사는 ShipMonk가 8월 10일 월요일에 사고를 보고한 뒤 목요일에 공식 공지를 냈다. 유출 범위는 두 단계로 나뉜다. 1만 1,742명은 성명, 전화번호, 이메일 주소, 배송지 주소가 노출됐고, 나머지 1,947명은 성명, 도시명, 이메일 주소가 유출됐다. 영향을 받은 주문에는 스웨덴, 영국, 미국, 콜롬비아, 이탈리아, 브라질, 포르투갈 고객이 포함되며, 비트코인 보유자뿐 아니라 알트코인 포트폴리오 보유자도 대상이다. Trezor는 영향을 받은 모든 고객에게 이메일로 개별 통보했으며, 통보를 받지 않은 고객은 유출 범위에 포함되지 않는다고 밝혔다. 물류 데이터 보존 정책상 주문 기록은 90일 후 삭제 또는 비식별화 처리되므로, 무단 접근자가 확보할 수 있는 데이터 범위가 제한적이었다고 설명했다. 이 회사는 2013년 이후 전화번호와 배송지 주소가 함께 유출된 첫 사례라고 확인했다. 특히 Trezor, 은행, 거래소를 사칭한 피싱 시도에 각별한 주의를 당부했다.

더 심각한 문제는 유출된 주문 기록이 공격자에게 정밀 타겟팅 목록으로 기능할 수 있다는 점이다. 하드웨어 지갑 구매자는 상당한 규모의 암호화폐 자산을 직접 관리할 가능성이 높기 때문에, 성명·주소·전화번호가 노출되면 기술적 방어막을 우회하고 사람 자체를 직접 공략할 수 있게 된다. 이번 사고는 Trezor 기기의 암호학적 결함을 드러낸 것이 아니라, 제3자 물류가 셀프 커스터디 체계의 약한 고리가 될 수 있음을 보여줬다. 사용자는 복구 문구, PIN, 비밀번호, 시드 백업을 요구하는 모든 메시지를 적대적 행위로 간주해야 한다. 발송자가 공식 지원팀, 은행, 거래소로 보이더라도 마찬가지다. 동일한 수법이 가짜 AI 암호화폐 지갑 경고, 위조 거래소 이메일, 혹은 긴급성을 유도하는 사기성 에어드롭 청구 형태로 나타날 수 있다. 유출 데이터에 배송 상세 정보가 포함돼 있어, 범죄자가 기기 모델명, 주문 시기, 배송지 도시를 언급하며 신뢰도를 높일 수 있다. Trezor의 권고는 명확하다. 복구 문구를 웹사이트에 절대 입력하지 말고, 어떤 사람에게도 공유하지 말라는 것이다. 이 회사 역사상 전화번호와 배송 정보가 동시에 유출된 전례가 없으며, 과거 유사한 하드웨어 지갑 정보 유출 사건에서는 다수 시장에서 장기간에 걸친 피싱 및 협박 캠페인이 벌어진 바 있다.

이번 침해는 보안의 질문 자체를 재정의한다. 지갑 자체는 안전할 수 있지만, 소유자의 신원이 노출되면 고도화된 피싱, 사회공학 공격, 심지어 물리적 강압까지 가능해지기 때문이다. 이번 공지 시점에 인용된 업계 데이터는 악화되는 환경을 보여준다. 2026년 상반기에만 암호화폐 보유자를 대상으로 한 폭력적 공격으로 3,000만 달러 이상의 피해가 발생했으며, 연간 기준으로는 2025년의 5,800만 달러 총액을 초과해 역대 최고치를 경신할 수 있는 추세다. 별도의 업계 데이터셋에 따르면 올해 46건의 폭력 사건이 집계됐고, 이 중 납치가 절반 이상을 차지했다. 배송지 주소 데이터가 단순한 행정 정보가 아닌 이유다. 공개된 블록체인 잔액과 물리적 위치를 연결하는 고리가 될 수 있다. Trezor는 이에 대한 대응으로 라커 수거, 무지 포장, 배송 식별자 자동 삭제를 기반으로 한 익명 배송 기능을 도입할 계획이다. 이 기능은 2026년 9월까지 유럽연합에서, 연말까지 미국에서 출시될 예정이다. 셀프 커스터디 사용자에게 이번 사고가 주는 교훈은 키 보호가 보안의 한 층에 불과하며, 지갑 소유와 연결된 개인 데이터를 최소화하는 것이 동등하게 중요해지고 있다는 것이다. 공격의 축이 코드에서 소유자로 이동하고 있음을 반영한다.

COINOTAG의 분석에 따르면 이번 사건은 지갑 익스플로잇이 아닌 공급망 경고다. 1차 자료는 Trezor의 공식 사고 보고서이며, 블록체인 포스트모템이 아니다. 공격자의 트랜잭션 해시나 탈취 금액이 존재하지 않는 이유는 유출된 것이 주문 데이터이지 프라이빗 키가 아니기 때문이다. 근본 원인은 ShipMonk 시스템 내부의 무단 접근이며, 시정 조치에는 고객 직접 통보, 90일 데이터 보존 한도, 익명 배송 기능 도입이 포함된다. 비트코인 보유자에게 실질적 시사점은 셀프 커스터디가 네트워크 기반 탈취 위험을 줄여주지만, 인적·물리적 위험까지 제거하지는 못한다는 것이다. 보안은 이제 키 격리, 운영 프라이버시, 그리고 시드 문구 요구에 대한 회의적 태도를 모두 요구한다.