Gnosis Pay, 고객 홈 주소와 카드 번호·연동 지갑 주소 유출

구형 카드 시스템으로 시작된 11월 3일 침해 사고

암호화폐 직불카드 발행사 Gnosis Pay의 정보 유출 사고로 고객의 홈 주소, 카드 번호, 계정에 연동된 모든 암호화폐 지갑 주소가 외부에 노출됐다. 회사 측은 11월 3일(화요일) 구형 개인용 카드 시스템에 무단 접근이 있었음을 확인했고, 약 2시간 만에 대응에 나서 침해에 쓰인 보안 인증 정보를 교체하고 공격 경로가 된 취약점을 막았다고 밝혔다. 공격자가 어떤 방식으로 접근했는지는 아직 공개되지 않았다. COINOTAG 실시간 현물 모니터링에 따르면 홈(HOME) 가격은 최근 24시간 동안 3.3% 하락했으며, 이 움직임은 이번 유출 공개와 별개의 시장 흐름으로 판단된다.

노출된 파일의 구성이 이례적으로 완전하다는 점이 문제의 핵심이다. 포트폴리오 추적 도구 Rotki의 창업자 Lefteris Karapetsas는 회사로부터 받은 통지 이메일을 X에 공개 게시물로 올렸다. 이메일에는 그의 이름, 홈 주소 전체, 카드 번호, 계정에 연결된 모든 지갑 주소가 담겨 있었다고 그는 전했다. 그는 "이미 사용자 관계는 끊겼지만 최소한 데이터는 지켰어야 했다"고 비판했다. 이 세 가지 정보가 한 파일에 묶이면 공격자는 실명과 온체인 보유 자산을 연결할 수 있고, 이는 단순한 개인정보 유출이 아니라 표적 사기를 실행하기 위한 전제 조건이 된다. Rotki는 자기 관리형 포트폴리오 도구로, 서비스를 이미 떠난 사람까지 노출 대상이 됐음을 이 사례가 보여준다. 회사는 고객 자금은 영향받지 않았으며, 다른 기업의 카드 프로그램을 운영하는 별도의 기업용 플랫폼도 침해받지 않았다고 설명했다. 카드 번호도 같은 노출 자료에 포함돼 있어 유출 범위는 암호화폐를 넘어 일상 결제 기록까지 미친다. 다만 피해자 수는 아직 공개되지 않았고, 회사는 영향받은 각 사용자에게 개별 이메일로 구체적인 내용을 통지했다고만 밝혔다.

Gnosis Pay는 2023년 공개된 서비스로, 암호화폐 지갑에 연동된 Visa 직불카드로 스테이블코인을 결제할 수 있게 하며, 공개 결제 집계 기준 연율화 거래액은 약 6,760만 달러에 이른다. 이번 11월 3일 침해는 2026년 들어 두 번째 보안 사고다. 6월에는 지갑 소프트웨어 취약점 악용으로 약 150만 달러가 인출됐고, 회사는 그 손실을 떠안아 고객에게 전액 보상했으며 해당 취약점을 원인으로 지목한 사후 분석 보고서를 공개했다. 두 사고는 성격이 다르다. 6월에는 자금이 빠져나갔고 이번 달에는 데이터가 빠져나갔다. 그리고 데이터는 훔친 자금을 되돌려 받은 방식으로 회수할 수 없다.

6월 사고 이후 회사는 온라인 카드 결제에 3D Secure 인증을 필수로 적용하고 부정거래 모니터링을 확대했다. 또 유출된 개인 정보와 과거 결제 내역을 악용해 사기 메시지가 실제처럼 보일 수 있다고 경고했다. 이는 추상적인 FUD가 아니다. 실제 카드 번호나 최근 결제 내역을 인용한 메시지는 일반 피싱보다 훨씬 무시하기 어렵고, 홈 주소까지 확보돼 있으면 신뢰도는 더 올라간다. 시기도 변수로 작동한다. Gnosis Pay는 12월 20일 자사 브랜드 개인용 카드를 중단하고 파트너 프로그램에 집중할 계획이어서, 유출된 시스템 자체는 이미 퇴역 일정이 잡혀 있다. 다른 기업의 카드 프로그램을 지원하는 기업용 플랫폼은 별도로 계속 운영된다.

서비스가 끝겨도 신원 지도는 남는다

이번 달 Gnosis Pay가 잃은 것은 자금이 아니라 지도다. 이름과 거리 주소, 카드 번호, 연동 지갑 주소가 하나의 기록으로 묶였다. 개인 키는 노출되지 않았기 때문에 자산을 콜드월렛으로 옮겨도 큰 효과가 없고, 크립토 믹서로도 이미 실명과 묶인 주소는 분리할 수 없다. Tangem 모바일 지갑에 이르는 하드웨어 선택지는 고객 파일이 아니라 키를 지키는 수단이다. 남는 위험은 이미 실체를 드러낸 바 있다. 프랑스에서는 보유 자산이 알려진 뒤 란드 지역에서 마스크를 쓴 무리가 부부를 묶은 강도 사건이 발생했다. 12월 20일 카드 시스템은 퇴역하지만, 그 시스템이 유출한 기록은 함께 사라지지 않는다.