Foundation, 자사 도메인에서 발송된 피싱 이메일 사태로 Cloudflare API 키 전량 폐기

가짜 리콜 이메일, Passport 사용자 겨냥

하드웨어 지갑 업체 비트코인 맥시멀리즘 진영의 Foundation이 월요일 새벽, 자사 고객을 겨냥한 피싱 공격에 대응해 조치를 완료했다. 회사는 X를 통해 회사 공식 도메인에서 스팸 이메일이 발송됐으며, 침해의 원인이 하나 이상 유출된 Cloudflare API 키로 추적됐다고 밝혔다. 회사의 X 발표는 스팸 메일이 공식 Foundation 도메인에서 온 것으로 보인다는 사실 확인으로 시작해, 대응 내용을 이어서 나열한다. 이미 모든 API 키를 폐기했고, 스팸 메일에 언급된 악성 도메인도 차단했다는 것이다. Foundation은 자사의 비트코인 전용 하드웨어 지갑 Passport에 보관된 자금은 안전하며, 하드웨어 자체는 침해되지 않았다고 덧붙였다.

Passport는 코인 이동을 승인하는 개인 키를 오프라인에 보관한다. 기기가 침해됐다는 메일은 바로 그 전제를 직접 흔드는 수법이다. 실제 발송된 메시지는 10월 25일 일요일에 도착했고, 긴급 리콜 문구를 내걸고 있었다. 발신자는 공급사가 디스플레이 모듈을 변경했으며 공격자가 해당 기기에서 자금을 인출하고 있다고 주장했다. 그러면서 교체품을 기다리지 말라고 재촉했다. 메일 속 링크는 foundation.support로 연결됐다. 이곳은 Foundation의 동반 지갑 앱 Envoy를 흉내 낸 가짜 사이트였다. 페이지는 빈 지갑 화면과 입금 버튼을 보여줬다. 방문자가 공격자가 통제하는 주소로 비트코인(BTC)을 보내도록 유도하는 설계다. 공격자가 노린 자금 상당수는 사용자가 수년간 콜드 스토리지에 HODL하려고 매수해둔 코인이었을 것이다.

위장 스토리는 믿을 만하도록 골라졌다. 2026년 내내 변조된 하드웨어 지갑 사례가 보도됐고, 제조사에서 온 것처럼 보이는 공급망 경고는 그래서 그럴듯하게 읽혔다. Foundation은 Passport를 철저한 단일 코인 기기로 만들어 왔고, 고객층은 더 넓은 비트코인 생태계에서 자기 보관을 선택한 층이다. 가짜 리콜이 겨냥하도록 설계된 바로 그 대상이다. 이런 사용자 기반은 리콜 통지를 스팸 소음이 아니라 저축에 대한 직접적 위협으로 받아들인다. 통지는 메일 발송이 구매자에게 도달한 다음 날 아침에야 게시됐다.

풀리지 않은 고객 데이터 의문

폐기된 API 키는 메일이 어떻게 발송됐는지는 설명한다. 그러나 발신자가 Passport 보유자가 누구인지 알아낸 경위는 설명하지 않는다. 발표 직후 여러 수신자가 답글을 달았다. 유출된 API 키만으로는 메시지 안의 개인 정보를 설명할 수 없다는 지적이었다. 이름, 전화번호, 우편 주소가 들어 있었다는 것이다. 한 사용자는 메일이 실제 Foundation 도메인의 주소인 jobs@foundation.xyz에서 왔으며, 2년 전 구매한 지갑에 연결된 우편 주소와 함께 자신의 실명이 적혀 있었다고 밝혔다. 또 다른 사용자는 메일이 두 가지 버전으로 유통됐다고 전했다. 기존 고객에게는 완전한 주문 정보가 담긴 메시지가 갔고, 과거 채용 지원자에게는 이름만 실렸다.

Foundation의 과거 발언이 의문을 더 선명하게 만든다. 2022년 회사는 X 스레드에서 제3자 리스크를 줄이기 위해 고객 지원 채팅과 이메일 마케팅 도구를 자체 호스팅한다고 밝혔다. 같은 스레드에서 고객 데이터는 주문 배송 후 60일이 지나면 삭제된다고도 말했다. 이 두 주장이 이제 열린 질문의 중심에 놓였다. 일요일 메일이 수년 전 배송된 주문에 붙은 배송 정보를 실어 왔기 때문이다. Foundation은 고객 데이터베이스가 침해됐는지 여부를 아직 밝히지 않았다. 회사는 가능한 한 빨리 전체 보고서를 공개하겠다고 말했다.

노출의 파장은 이번 건 한 건으로 끝나지 않는다. 과거 고객 데이터 유출 사건 이후 Ledger 구매자들이 가짜 편지를 우편으로 받은 일이 있었다. 위협이 수신함에서 현관 앞으로 옮겨온 사례다. 분업체 CertiK는 2026년에 코인 보유자에 대한 물리적 협박, 이른다 렌치 어택이 사상 최대치에 이를 수 있다고 전망한다. 하드웨어 지갑 소유자와 짝지어진 집 주소 목록은 고래든 일반 구매자든 범죄에 필요한 표적 명부다.

공지가 남겨둔 것

1차 기록, 즉 Foundation의 X 발표 자체를 우리가 읽은 결론은 이렇다. 회사는 발송 경로의 문제에는 답했지만 데이터 문제는 열어뒀다. 공지는 메시지가 어떻게 나갔는지 설명하고 가짜 사이트 차단을 확인한다. 그러나 공격자가 특정 기기의 소유자에게 이름과 전화번호, 주소를 어떻게 대조했는지는 말하지 않는다. 배송 후 60일이면 삭제된다는 회사 기록이 실제로는 그 기한을 넘어 살아남았는지 여부도 밝히지 않았다. 기록 어디에도 리플레이 공격이나 Passport 서명 하드웨어의 침해를 시사하는 내용은 없다. 보고된 위험은 기기가 아니라 신원 데이터에 있다. 월요일에 종료된 것은 가짜 리콜 사이트였다. 동시에 표면으로 드러난 것은 수년 전 주문에 묶인 배송 정보가 여전히 유통된다는 증거다. Foundation이 약속한 전체 보고서가 다음 기준점이 된다.