프라뱅, 한 달 새 세 번째 해킹으로 회원 7명 개인정보 유출

회원 7명, 8개 항목의 정보 유출

한국 가상자산 거래소 프라뱅(Prabang)이 11월 5일 목요일 공식 공지를 통해 회원 7명의 개인정보가 유출된 보안 사고를 인정했다. 침입은 외부의 미허가 접근에 따른 것으로, 접근 시점은 10월 24일 토요일 전후로 추정된다. 유출된 기록은 총 8개 항목에 이른다: 이름, 회원번호, 이메일 주소, 휴대전화 번호, 일회용 비밀번호(OTP) 키 값, 자산 잔액, 개인 지갑 주소, 로그인 비밀번호다. 거래소는 계정마다 보유한 정보 프로필이 다르기 때문에 실제로 빼간 항목은 회원별로 차이가 난다고 강조했다. 프라뱅은 피해 회원 각각에게 개별적으로 유출 사실을 통지할 예정이다. 공지가 나온 시점에도 플랫폼은 여전히 서비스 중단 상태다. 시스템 점검 과정에서 보안 취약점을 발견한 뒤 거래와 회원 접속을 모두 차단했고, 이후로도 재개하지 않았다. 회사는 관련 법령에 따라 당국에 사건을 신고했으며, 침해 원인과 전체 규모를 파악하는 작업을 계속 진행 중이라고 밝혔다. 올해 플랫폼 사고가 잇따르면서 시장의 경계심이 높아진 가운데, 이번 사고에서 눈에 띄는 것은 유출의 깊이다. OTP 키 값과 로그인 비밀번호가 함께 빠져나가면 공격자는 대부분의 거래소가 의존하는 이중 인증 방어를 우회할 수 있다. 단순히 피싱용 연락처를 거두는 수준을 넘어선다는 뜻이다. 다만 프라뱅은 유출된 인증 정보가 해시 처리돼 있었는지 평문으로 저장돼 있었는지 아직 밝히지 않았다. 이 공백 때문에 실제 계정탈취 위험은 진행 중인 조사가 결과를 내기 전까지 가늠할 수 없는 상태다.

1억 원 인출 사고, 한 달간의 연쇄 실패

타임라인을 보면 이번 사고는 단발성 실수가 아니라 반복되는 실패의 연속이다. 프라뱅은 10월 2일 금요일 첫 데이터 유출을 당했고, 같은 달 10월 24일에는 핫월렛에서 비정상 인출이 발생해 약 1억 원 상당의 디지털 자산이 빠져나갔다. 거래소 측은 인출을 확인한 직후 비상 대응 체계를 가동했고 시스템 전수 점검을 실시했다. 이 점검 과정에서 현재 서비스 중단으로 이어진 취약점이 드러났다. 회사 공지에 따르면 이번 주에 확인된 개인정보 노출은 10월 24일 핫월렛 사고와 같은 시점에 발생한 것으로 추정되며, 프라뱅은 10월 2일 유출과는 별개의 사건이라고 설명했다. 복구 방안과 관련해 거래소는 유출된 자산의 정확한 규모를 검증하고, 피해 전액을 자체 자본으로 전액 보전하겠다고 약속했다. 또한 재발 방지를 위해 광범위한 보안 강화와 시스템 전면 개편을 추진 중이며, 당국과의 합동 조사가 근본 원인을 규명하는 작업을 진행하고 있다. 반면 공격자가 핫월렛에서 자금을 어떤 경로로 옮겼는지, 어느 체인을 통해 빠져나갔는지, 자산의 일부라도 동결이나 회수됐는지는 아직 공개되지 않았다. 회수 전망 역시 이 세부 정보가 발표되기 전까지 열려 있는 상태로 남아 있다.

COINOTAG 데스크의 판단은 이렇다. 표적 피싱에 필요한 지갑 주소와 잔액 데이터가 이미 빠져나간 만큼, 서비스가 멈춰 있는 동안 피해 계정 회원은 비밀번호와 인증 정보를 즉시 교체하고 활성 세션을 모두 해지한 뒤 하드웨어 월렛을 활용해 자산을 자기관리 형태로 옮기는 편이 안전하다. 소규모 거래소가 한 달에 세 번 유출을 겪고 무기한 서비스 중단에 이르는 상황은 DYOR 원칙이 존재하는 이유를 그대로 보여준다. 자산 배분 결정에는 시장 리스크만이 아니라 플랫폼 리스크도 반드시 포함돼야 하며, COINOTAG의 최고 암호화폐 거래소 평가 기준 역시 사고 이력에 비중을 두고 있다.