Keystone, 인증 키 유출로 미출하 하드웨어 지갑 18,835대 폐기

WebAuth 키 도난, 재고 전량 폐기로 이어져

Keystone이 공격자에게 장치 인증용 암호화 키를 도난당하면서 출하하지 않은 하드웨어 지갑 18,835대를 폐기한다. 10월 26일 월요일에 공개한 사후 분석에 따르면 도난당한 WebAuth 키는 생산 과정에서 영구적으로 탑재되며 재기록이나 삭제가 불가능하다. 이 키로 제조된 장치는 위조품이면서도 Keystone의 정품 검증을 통과할 수 있다. 검증 절차는 위조 제품이 구매자에게 전달되는 것을 막기 위해 존재하는데, 제조 수준의 키가 유출되면 위조 장치가 모든 벤더 테스트를 통과한 채 공격자가 실질적으로 통제하는 암호화폐 지갑에 자금을 심을 수 있고 이미 생산된 물량은 키 폐기가 불가능하다. 회사의 조사 결과, 침입은 제3자 데이터 모니터링 도구의 취약점을 통해 공격자가 공식 웹사이트에서 권한을 상승시킨 데서 비롯됐다. 10월 20일 화요일 의심 활동이 탐지됐고 해당 웹사이트 기능을 비활성화한 뒤 포렌식 검토에 들어갔으며, 10월 23일 금요일 제3자가 고객 배송 정보를 입수했음을 확인했다. 현재 웹 주문 출하는 중단됐고 스토어는 예약 판매 방식으로 전환했다. 새 키로 생산한 교체 물량이 언제 완료될지는 발표되지 않았다. 해당 공지에서 회사는 복구 구문, 개인 키, 지갑 자격 증명, 결제 정보는 노출되지 않았다고 밝혔다. 10월 20일 이전에 인도된 장치는 정품 검증을 통과하면 계속 사용해도 안전하며, 이후 수령한 물량은 고객 지원을 통한 추가 확인이 필요하다. Keystone은 유럽연합, 영국 등 관할 당국에 규제 보고서를 제출했고 유출 정보 조회 도구를 준비 중이다. 회사는 이번 사건을 이유로 고객에게 자금 이동을 요구한 적이 없으며, 기기를 반송하라는 사기성 회수 메시지는 무시하라고 경고했다.

@KeystoneWallet · X 게시물

해당 공지.

X에서 보기

삭제 기한을 넘긴 구매자 기록 25,964건

같은 조사는 Keystone의 고객 데이터 관리 실패도 드러냈다. 검토한 Shopify 구매자 기록 51,083건 가운데 25,964건에 이름, 배송 주소, 연락처, 2024~2026년 구매 이력 등 개인정보가 그대로 남아 있었다. 회사는 자동 삭제 시스템이 오작동해 고객에게 약속한 180일 보관 기한을 넘겨 정보가 보관됐다는 점을 인정했다. 회사는 "고객 데이터를 기한 내 삭제하겠다는 약속을 지키지 못했으며 그 책임을 진다"고 밝혔다. 보관 정책에 따라 이미 25,000건은 영구 삭제됐지만, 이번 공백은 삭제 도구가 신뢰할 수 있게 작동하지 않았음을 보여준다. 조사진은 잠재적으로 민감한 세부 정보를 담은 미결제 결제 기록 12,873건도 확인했고 이 목록은 삭제 대기열에 추가됐다. 앞으로 보관 기한은 90일로 제한되며, 10월 24일 토요일에 제출된 기한 초과 삭제 요청은 11월 3일 화요일까지 완료될 예정이다. 유출 사실은 고객이 Keystone 주문 정보를 이용한 "소셜 엔지니어링" 전화를 경험했다고 말하면서 표면화됐고, 회사는 그 보고 약 18시간 뒤인 10월 24일 토요일 사과문을 올려 배송 정보 도난을 확인했다. 압박을 받는 벤더는 Keystone뿐이 아니다. 10월 26일 월요일 이른 아침 Foundation이 자체 도메인에서 발송한 피싱 이메일이 Passport 사용자에게 도착했고, Cloudflare에 있던 하나 이상의 API 키가 침해된 것으로 확인됐다. 회사는 자사 시스템으로 전달된 피싱 시도가 20,000건을 넘는다고 집계하며 개인정보가 노출된 사용자 수는 아직 파악 중이다. 이메일은 디스플레이 모듈을 둘러싼 공격성 문구에 의존했는데, 이는 최근 침해된 Ledger 장치 사례와 상통한다. Foundation은 노출 원인을 데이터베이스 마이그레이션 처리 실패로 보며, 이 과정에서 오래된 주문 테이블이 삭제되지 않았다고 설명한다. 최근에 접수된 Shopify 주문도 영향을 받았을 수 있다는 입장이며, 앞서 고객 데이터는 60일 이내 자동 삭제된다고 안내해 왔다.

@KeystoneWallet · X 게시물

사과문.

X에서 보기

두 사건의 공통점은 장치 자체가 깨지지 않았다는 것이다. 문제는 웹 인프라, 보관 관리, 데이터베이스 마이그레이션으로 이어지는 운영 계층에서 발생했다. 실질적 위험은 그만큼 피싱 쪽으로 이동한다. 유출된 이름, 주소, 주문 이력은 사기 전화와 이메일을 설득력 있게 만든다. 최근 Ledger 스파이웨어 사건과 Coldcard 시드 생성 버그가 유사한 소셜 엔지니어링 수법으로 2억 달러 이상의 손실을 냈다. Keystone이 복구 구문은 건드리지 않았다고 확인한 점이 이번 사건에서 가장 다행스러운 사실이다. 복구 구문이 유출됐다면 HD 지갑이 파생하는 모든 주소가 위험해진다. 콜드 지갑을 보유한 사용자는 검증을 공식 채널로만 진행해야 하고, 회수나 환불을 요구하는 메시지는 확인 전까지 의심해야 한다. 이번 사건은 실제 피해의 상당 부분이 고장 난 하드웨어가 아니라 하드웨어 지갑 사용 시 흔한 실수와 벤더 측 관리 실패에서 비롯된다는 점을 다시 상기시킨다.