Revolut, 가짜 정부 요청에 고객 Bitcoin(BTC) 거래 이력 유출

Revolut의 9월 12일 고객 통지

영국 핀테크 기업 Revolut가 피해 고객들에게 정부기관을 사칭한 가짜 정보 요청에 개인 데이터를 넘겼음을 공식 확인했다. 유출된 자료에는 Bitcoin(BTC) 거래 이력 전체가 포함된 것으로 전해졌다. 이 사실은 9월 12일 회사의 고객 통지문 사본이 온라인에 퍼지면서 알려졌다. 통지문에 따르면 가짜 이메일은 실존하는 정부기관의 공식 도메인 내부에 허가받지 않은 사서함에서 발송됐고, 정상적인 도메인 인증을 통과했다. 이 때문에 Revolut의 컴플라이언스 팀은 이를 정당한 법 집행 기관의 요구로 판단했다. 넘어갔을 가능성이 있는 자료는 KYC 파일 전체에 걸친다. 이름, 생년월일, 직업, 주소, 이메일 주소, 전화번호에 더해 여권이나 운전면허증 사본, 온보딩 단계에서 촬영된 안면 인증 셀카까지 포함된다. 금융 기록으로는 IBAN, 계좌 상태, 계좌 개설일, 지갑 참조 번호, 출금 기록, 그리고 플랫폼에서 실행된 모든 비트코인 매수·매도 내역을 아우르는 전체 거래 이력이 해당될 수 있다. 회사 측은 생체 안면 특징 데이터는 유출 대상에 포함되지 않았으며 침해되지 않았다고 밝혔다. 통지문을 검토한 온체인 조사가 ZachXBT는 유출 규모가 제한적일 가능성이 높다고 판단하면서도, 표적은 사실상 고액 자산가, 즉 암호화폐 고래였던 것으로 보인다고 관찰했다. 전 Mt. Gox CEO인 Mark Karpelès도 자신이 피해자였다고 밝히며 통지문을 X 게시물을 통해 공개했다.

해커 측, Shevchenko와 Römer 기록 유출

사건은 한층 공격적인 2단계로 접어들었다. 보안 모니터링 그룹 International Cyber Digest가 X를 통해 전한 바에 따르면, 공격자들은 몸값 지급을 기다리지 않고 탈취 자료를 직접 공개하기 시작했다. 유명 인사 고객의 셀카와 신분증 사본이 공개됐으며, 여기에는 테니스 선수 Alexander Shevchenko와 온라인 암호화폐 카지노 Gamdom의 CEO Felix Römer가 포함됐다. 해당 게시물과 함께 인용된 텔레그램 메시지에서 공격자들은 Revolut가 “고객 데이터 유출에 대한 대가를 지불할 때까지” 매일 더 많은 자료를 공개하겠다고 밝혔다. 이 에스컬레이션이 암호화폐 사용자에게 특히 무거운 이유는 Revolut가 법정화폐 은행, 주식, 암호화폐 거래를 하나의 계좌로 통합하는 몇 안 되는 소비자용 앱이기 때문이다. 이런 유출은 단순히 신원을 노출하는 데 그치지 않고, 각 고객의 디지털 자산 활동 전체, 즉 무엇을 얼마나 언제 샀는지에 대한 완전한 지도를 공격자에게 넘겨주는 셈이다. KYC 셀카와 신분증이 이미 공개된 상황에서 신원 도용 공격 표면은 Revolut 자체를 넘어 대출 신청, 타 거래소 계좌 개설, 정밀 표적 피싱까지 확장됐다. 최고 암호화폐 거래소 가이드로 플랫폼을 비교하는 투자자라면 각 거래소가 기록을 넘기기 전 법 집행 요청을 어떻게 검증하는지 반드시 따져봐야 한다.

도메인은 인증됐지만 기관명은 미공개

핵심 세부 사항 여럿이 여전히 공개되지 않았다. Revolut는 도메인이 악용된 기관의 이름을 밝히지 않았고, 허가받지 않은 사서함이 공식 인프라 내부에서 정상 자격 증명을 획득할 수 있었던 경위도 설명하지 않았다. 피해 고객 수 역시 “제한된 수”라는 표현으로만 언급하고 구체적 규모는 특정하지 않았다. 회사는 자사 시스템과 고객 자금은 침해되지 않았다는 입장을 유지한다. 로그인 자격 증명, 카드 번호, 프라이빗 키, 잔액은 노출 집합에 포함되지 않았다는 것이다. 회사는 이후 가짜 사서함을 차단하고, 해당 기관에 직접 연락해 문제 계정을 신고했으며, 데이터 보호 및 금융 규제기관에 통보하는 한편 피해 계좌에 예방적 보호 조치를 적용했다고 밝혔다. 이 사건은 7월에 사이버범죄 포럼에서 유포된 “Revolut 고객 기록 7,500만 건 유출” 주장과는 별개다. 당시 회사는 침입 흔적을 찾지 못했고 샘플 식별자가 실제 계좌와 일치하지 않는다며 해당 주장을 부인했다. 지금까지 어떤 규제기관도 공식 입장을 내놓지 않았다. 타임라인이 중요하다. 회사는 9월 12일 고객에게 가짜 요청에 의한 유출을 확인했고, 해커들의 첫 공개 유출은 9월 13일 주말에 이어졌다. 몸값 마감이 이미 작동 중이라는 뜻이다.

컴플라이언스 사서함이 공격 표면으로

우리의 판단으로는, 가짜 요청, 몸값 목적의 유출, 아직 식별되지 않은 기관이라는 세 갈래 실마리가 하나의 구조적 취약점을 드러낸다. KYC 파일과 HODL 방식의 장기 암호화폐 포지션을 동일 계좌에 보유하는 핀테크 플랫폼이 법 집행 요청 사칭 공격의 일석이조 표적이 된 것이다. 최근 Symbiosis 브리지 해킹 이후 우리의 Bitcoin 보안 취재가 문서화해 온 대로, 공격 표면은 이제 스마트 컨트랙트에서 컴플라이언스 담당자의 사서함까지 뻗어 있다. 이 사건의 1차 기록은 Karpelès가 공개한 고객 통지문이다. 해당 기관의 이름이 밝혀지기 전까지는 Revolut의 검증 워크플로와 정부 측 사서함 보안 모두 검증되지 않은 상태로 남는다.