Keystone, 홈페이지 침해 사고로 고객 배송 정보 유출 확인

Keystone, 홈페이지 유출 사실 공식 인정

에어갭 방식의 하드웨어 지갑 제조사 Keystone이 온라인 스토어에서 제3자가 고객의 배송 정보를 빼낸 사실을 공식 확인했다. 회사 공식 계정은 10월 24일 토요일 게시한 공개 입장문에서 10월 20일 화요일 홈페이지에 무단 접근이 있었음을 탐지했으며, 전자상거래 플랫폼 Shopify와 함께 응용 프로그래밍 인터페이스 활동 기록을 검토한 끝에 10월 23일 금요일 제3자가 데이터를 확보했음을 확인했다고 밝혔다. 입장문은 사과로 시작한다. 회사는 개인정보를 지켜야 한다는 고객의 신뢰를 저버렸다는 점을 인정했다. 하드웨어 지갑 구매 과정에서 유출된 기록에는 이름, 연락처, 배송 주소, 주문한 제품과 그 가격이 포함됐다. 반면 결제 카드 정보, 은행 계좌 정보, 복구 구문, 프라이빗 키, 지갑 비밀번호는 노출되지 않은 것으로 공시됐다. Keystone은 무단 접근을 차단하고 취약점을 수정했으며 조사에 착수했다고 설명했다. 피해 고객에게 이메일을 발송하기 시작했고 상세한 사고 보고서도 준비 중이다. 다만 이번 공시에는 빠진 부분이 많다. 공격자의 신원, 피해 고객 수, 침입이 처음 시작된 시점, 악용된 취약점의 종류가 모두 밝혀지지 않았다. 침입자가 유출된 응용 프로그래밍 인터페이스 자격 증명을 사용했는지, 스토어프런트 응용 프로그램의 결함이었는지, 인프라의 다른 약점이었는지도 아직 공개적으로 특정되지 않았다. Keystone이 Shopify의 응용 프로그래밍 인터페이스 활동을 언급한 것은 조사자들이 무엇을 검토했는지는 알려주지만, Shopify 플랫폼 자체가 침해됐다는 뜻은 아니다. Shopify는 상인과 승인된 응용 프로그램이 고객 기록과 주문을 관리할 수 있게 하는 상점 인프라와 프로그래밍 인터페이스를 제공하며, 연결된 응용 프로그램에 부여된 권한이 접근 가능한 데이터의 범위를 결정한다. 이번 사건에 어떤 자격 증명과 권한이 관여했는지는 공개되지 않았다.

@KeystoneWallet · X 게시물

공개 입장문.

X에서 보기

피싱 경고와 물리적 위협

이번 유출의 즉각적인 위험은 Keystone 시스템 바깥에 있다. 유출된 이름과 주소는 하드웨어 지갑을 구매한 실제 고객을 특정할 수 있고, 실제 주문 내역과 결합되면 사칭 메시지의 신뢰도가 크게 올라간다. 회사는 이메일, 전화, 문자, 우편으로 Keystone을 사칭하는 스캠에 주의하라고 경고했다. 예상되는 미끼로는 가짜 환불, 교체 기기 발송, 배송 정보 수정 요청 등이 꼽힌다. 회사는 복구 구문을 절대 공유하지 말 것, 주문하지 않은 기기에 복구 구문을 입력하지 말 것, 수상한 연락이 오면 공식 고객 지원으로 직접 확인할 것을 사용자에게 당부했다. 보안 개발자 Taylor Monahan은 한 걸음 더 나아가 물리적 위협에 대한 경고를 내놓았다. 강도와 납치까지 언급한 것인데, 업계에서 이런 패턴은 '렌치 공격'이라고 불린다. 범죄자가 폭력을 써서 자산 보유자에게 자산을 넘기도록 강제하는 방식이다. 공시에는 이번에 빼낸 기록이 이미 발생한 공격과 연결됐다는 확인된 증거는 없다. 전 Binance 최고경영자 Changpeng Zhao는 이번 발표에 짧게 반응했다. "Stay SAFU!"라는 메시지였다. 이 사건은 경쟁사 Ledger의 2020년 침해 사고를 떠올리게 한다. 당시 공격자는 응용 프로그래밍 인터페이스 키를 이용해 회사의 전자상거래 및 마케팅 데이터베이스 일부에 접근했다. Ledger는 처음에 약 100만 개의 이메일 주소가 유출됐고 약 9,500명의 고객에 대한 상세 개인정보가 포함됐다고 집계했다. 그러나 2020년 12월 유출 데이터베이스가 공개적으로 유통되자 회사는 이름, 우편 주소, 전화번호를 담은 약 27만 2,000건의 기록이 더 노출됐음을 인정했다. Ledger을 사칭한 사기성 우편물은 2025년 4월까지도 고객에게 도착했고, 수신자에게 QR 코드를 스캔해 복구 구문을 입력하도록 유도했다. 별도로 Ledger는 동남아시아 대리점에서 기기를 구매한 사용자들의 자산 손실을 조사 중이며, 예방 조치로 해당 대리점에 판매와 출하를 중단해 달라고 요청했다.

@tayvano_ · X 게시물

물리적 위협에 대한 경고.

X에서 보기

Keystone이 아직 답하지 않은 질문들

이번 공시의 핵심은 빼내지 못한 것이다. 콜드 월렛 설계가 그 역할을 했고, 유출 목록에 암호화폐 지갑 자격 증명은 하나도 없었다. 노출된 것은 전부 개인 정보다. 따라서 위험은 기술 계층에서 사람 계층으로 옮겨간다. 공격자는 실제 주문 이력과 전화 한 통, 혹은 우편물 한 장을 결합해 신뢰를 만든다. 예정된 사고 보고서가 답해야 할 질문은 세 가지다. 피해 고객이 몇 명인지, 무단 접근이 언제 시작됐는지, 침입자가 어떤 자격 증명을 사용했는지. Ledger의 2020년 데이터베이스가 작년까지도 스캠의 밥거리가 되며 6년 가까이 여파를 남긴 전례는, 제조사와 직접 확인하기 전까지는 모든 발신형 환불·교체·배송 메시지를 적대적 접근으로 다뤄야 한다는 교훈을 남긴다.