Gnosis Pay, 11월 3일 침해로 카드 정보와 지갑 주소 유출 확인

11월 3일 침해 감지

암호화폐 연동 Visa 직불카드 발급사 Gnosis Pay가 금요일, 구형 개인 소비자 카드 시스템에서 고객 카드 정보와 개인 기록이 유출됐음을 공식 확인했다. Gnosis 생태계 안에서 운영되는 이 회사는 침해 공지를 통해 11월 3일 자사 브랜드 개인용 카드의 구형 플랫폼에서 무단 접근을 발견했고, 2시간 안에 차단 작업에 착수했다고 밝혔다. 고객 자금은 영향을 받지 않았으며, 화이트라벨 카드 프로그램을 서비스하는 별도의 기업용 플랫폼도 침해를 입지 않았다. Gnosis Pay는 암호화폐 자산과 연동된 결제 카드를 제공하는 핀테크 서비스로, 이번 사건은 블록체인 자체가 아니라 결제 인프라에서 발생한 것이다. 유출된 기록은 카드 번호를 훨씬 넘어섰다. 피해 사용자에게 발송된 통지문에는 카드 번호 전체, 유효기간, CVV 코드와 함께 고객 이름, 거주지 주소, 계좌에 연결된 암호화폐 지갑 주소가 나열됐다. 이메일 주소, 전화번호, 국적도 포함됐고 일부 기록에는 IBAN과 BIC 코드 같은 은행 정보도 담겼다. 회사가 밝히지 않은 것은 피해 고객 수와 침입 경로다. 공개된 공시에서 두 질문은 여전히 답이 없는 상태다.

카드 정지, 3D Secure 의무화

피해 범위는 사용자마다 다르다. 일부 고객은 카드에 인쇄된 이름, 배송 주소, Gnosis Pay 계정 식별 정보만 노출됐다는 통지를 받았다. Rotki 창업자 Lefteris Karapetsas는 침해 통지문을 공유하며 자신의 거주지 전체 주소, 이름, 카드 번호, 계좌에 연결된 모든 지갑 주소가 노출됐다고 밝혔다. 같은 통지문은 11월 3일에 카드가 정지 처리됐고 의심스러운 거래나 자금 이동 기록이 없음을 확인해줬다. 이 시점까지는 직접적인 도난이 아니라 데이터 유출 형태로 볼 수 있다는 의미다. Gnosis Pay는 유출된 보안 인증 정보를 교체하고 취약점을 수정했다고 설명했다. 잠정 대책으로 온라인 카드 결제에 쓰이는 추가 인증 단계인 3D Secure 검증이 12월 20일 구형 플랫폼 종료 예정일까지 모든 온라인 결제에 의무 적용된다. 회사는 고객에게 개인 정보나 거래 내용을 재활용한 피싱 시도를 경계하라고 경고했고, 유출 데이터의 오남용 가능성에 대한 모니터링을 준비 중이라고 덧붙였다. 카드 정보 전체가 유출 항목에 포함돼 있어, 지금까지 악용 사례가 확인되지 않았더라도 회사는 부정행위 위험을 진행 중인 것으로 본다.

일일 활성 카드 사용자 2,400명

암호화폐 카드 활동을 추적하는 제3의 플랫폼 OpenRate는 Gnosis Pay의 일일 활성 카드 사용자를 약 2,400명으로 추산하며, 공개 직전 24시간 동안 26만 3,200달러 규모의 거래가 처리됐다고 집계했다. 이 수치는 사고 이후 활동 감소를 측정한 값이 아니라 사건 전후의 기준 사용량을 보여줄 뿐이며, 침해 이후 사용 데이터는 아직 공개되지 않았다. 그래도 유출이 영향을 미칠 수 있는 사용자층의 규모는 가늠할 수 있다. 다만 전원이 피해자인지, 일부인지, 극소수인지는 회사가 확인하지 않았다. Gnosis Pay는 기업 파트너를 위한 화이트라벨 스테이블코인 카드도 발급하는데, 이 사업 영역은 별도 인프라에서 운영되며 회사는 이 부분이 사건과 무관하다고 밝혔다. 구형 소비자 시스템은 침해보다 앞서 연말 종료가 이미 예정돼 있었다. 12월 20일 종료일이 잠정 3D Secure 요건의 만기일도 겸하게 된 셈이다. 공시 자체는 GNO 토큰에 대해 아무 언급이 없으므로, GNO 기술적 분석을 팔로우하는 독자는 시장 흐름과 보안 이슈를 분리해서 볼 필요가 있다. 회사는 취재진의 답변 요청에 즉각 응하지 않았고, 피해 고객 수와 근본 원인은 모두 미확인 상태로 남았다.

자금 유출 아닌 피싱 위험

우리의 판단은 이렇다. 핵심은 신원을 드러내는 데이터와 자금을 풀 수 있는 데이터를 구분하는 일이다. 지갑 주소는 신원을 확인할 뿐 자금을 이동시키지 못한다. 회사가 공개한 유출 항목 목록에는 자금 이동 권한을 갖는 개인 키가 나오지 않는다. 현실적인 위협은 표적 피싱이다. 거주지 주소, 카드 번호, 거래 맥락을 갖고 있는 사람은 발급사나 은행을 사칭하기에 충분한 정보를 이미 손에 쥔 셈이다. 결제용 잔액과 장기 자산을 분리해 보관하고, 핫월렛 대신 하드웨어 지갑에 자산을 보관하는 사용자라면 노출 폭은 작아진다. 공시에는 접근 경로에 대한 설명이 전혀 없어 원인은 아직 확정되지 않았다. 프로토콜 측 참고 사항으로, Gnosis는 최근 FCR을 적용해 브리지 확인 시간을 약 12초로 단축했다. 이는 체인 수준의 변경 사항으로, 이번 카드 시스템 침해와는 무관하다. 커스터디 기본 개념은 암호화폐 거래소 vs 암호화폐 지갑 가이드에서 다룬다.