Revolut 데이터 유출, 가짜 정부 요청으로 Bitcoin(BTC) 거래 기록 노출

ZachXBT, Revolut 고객 데이터 제공 건 제기

핀테크 기업 Revolut이 정부발로 믿고 응답한 정보 제공 요청을 계기로, 일부 고객의 개인정보가 인가되지 않은 제3자에게 전달됐을 가능성이 제기됐다. 온체인 수사자 ZachXBT가 이 사건을 공개적으로 지적했다. 수사자의 설명에 따르면 사건은 Revolut에 특정 주무기관의 공식 이메일 도메인을 사용한 고객정보 요구가 도착하면서 시작됐다. 메시지에는 정상적인 도메인 인증 자격 증명이 포함돼 있었고, 회사는 이를 진본으로 수용했으며 위조를 식별하지 못한 채 요청에 응답한 것으로 알려진다. 그 결과 발신자가 회사 이용자 일부를 포괄하는 파일에 접근할 수 있었을 가능성이 있다.

노출된 자료의 범위도 넓다. 잠재적 영향 대상 기록에는 고객의 성명, 생년월일, 직업, 주거지 주소, 이메일 주소, 전화번호에 더해 여권 또는 운전면허 사본, 신원확인 과정에서 촬영된 셀카 이미지, 계좌 거래명세서, IBAN 정보, 출금 기록, 그리고 Bitcoin(BTC) 송금을 포함한 전체 거래 이력이 포함될 수 있다. Revolut은 피해 고객에게 발송한 보안 안내문에서 생체 얼굴 인식 데이터는 이번 사건의 영향을 받지 않았다고 밝혔다.

현재까지 파악된 규모는 제한적이지만, 리스크 구조는 결코 편안하지 않다. ZachXBT는 잔고가 큰 보유자가 표적일 가능성을 지적했다. 전체 거래 이력이 넘어오면 공격자는 피해자의 온체인 자산 규모를 정확히 알 수 있기 때문이다. 최근 며칠 사이 여러 Revolut 이용자가 이 사건과 연결된 보안 알림을 수신한 것으로 전해지며, 회사가 아직 통지 명단 작업을 진행 중임을 시사한다. 주목할 점은 이번 사건이 통상적인 의미의 해킹이 아니라는 것이다. Revolut 핵심 시스템 침해 보고는 없었다. 문제는 절차적 결함이었다. 정교하게 조작된 소셜 엔지니어링 이메일이 인증 절차를 통과하면서, 컴플라이언스 수준의 신원 아카이브가 표적 정보로 전락한 것이다.

100만 엔 USDC 질문, 화제성 폭발

별개의 사건은 저울 반대편에서 정보 제공 요구가 어디까지 뻗어나갈 수 있는지를 보여준다. 9월 10일, X 이용자 @fishing_kiyogon은 암호화폐 보유자와 일본 세무서 직원 사이에 오간 100만 엔 규모 USDC 송금 관련 대화를 재연한 게시물을 올렸다. 이 화제의 X 게시물은 이틀 만에 약 700만 임프레션을 기록했고, 조회수 690만 회를 넘겼으며 댓글 500개 이상을 끌어모았다.

화제의 X 게시물https://x.com/fishing_kiyogon/status/2097878117281038752?s=20

대화에서 세무서 직원은 먼저 100만 엔 상당의 USDC를 어디로 보냈는지 묻는다. 게시자는 자신이 소유한 다른 지갑으로 옮겼다고 설명한다. 추궁은 점점 빈약한 명분으로 이어진다. 지갑을 바꾸고 싶었다, 자금 관리 장소를 바꾸고 싶었다, “만약을 위해” 옮겼다는 식이다. 개그의 절정은 직원이 목적지의 “주소”를 요구하고, 게시자가 0x 지갑 주소를 읽어내자 직원이 “도쿄나 사이타마 같은 주소”를 달라고 답하는 장면이다. 양측 사이 기본 용어 이해의 완전한 단절이 그대로 드러난 순간이다.

이 대화가 실제 세무조사를 반영한 것인지 허구인지는 확인되지 않았지만, 암호화폐 과세 질의가 실제로 전개되는 방식을 충실히 재현한 것으로 읽힌다. 일본은 현재 암호화폐 이득을 종합과세 대상 기타소득으로 분류한다. 국세와 지방세를 합산한 세율은 최고 55%에 이르고, 암호화폐 간 스왑 자체가 과세 대상이며, 손실 이월공제는 인정되지 않는다. 업계 실무자들은 범용 세무사와 공무원이 업계 용어에 능숙하지 않은 경우가 많아, 암호화폐 사업자가 자문과 함께 사전에 설명 자료를 준비하는 경우가 흔하다고 말한다. 게시물 아래 반응은 설명할수록 격차가 벌어진다는 공감에서부터, 요즘 이만큼 무지한 공무원은 드물다는 반박까지 다양했다. 이 에피소드는 셀프커스터디에 대한 일본인들의 관심이 커지는 시점에 부합한다. 자신의 기록으로 이런 질문에 답할 수 있게 해주는 하드웨어 및 모바일 월렛 수요가 꾸준히 이어지고 있다. 시장을 실시간으로 추적하려는 독자는 Bybit에서 현물·선물 가격을 실시간으로 확인할 수 있다.

셀프커스터디 수요가 계속되는 이유

두 사건을 놓고 보면, 같은 압력 지점을 정반대에서 비추고 있다. Revolut 사건은 커스터디언의 KYC 아카이브, 즉 신분증·셀카·출금 로그·BTC 거래 이력이 위조 공문이 인증 필터를 넘어서는 순간 그 자체가 공격 표면이 됨을 보여준다. 앞서 확인한 원 게시물에 기록된 일본의 화제성 대화는 세무 당국이 0x 주소가 무엇인지 파악하기도 전에 정보 제공을 요구하는 모습을 보여준다. COINOTAG의 판단은 이렇다. 이중의 마찰은 셀프커스터디 인프라와 보유자 직접 통제를 위한 스테이블코인 결제 레일의 매력을 꾸준히 갱신하고 있다는 것. Tether의 Stable부터 Circle의 Arc blockchain까지 이어지는 이주 경로는, 비트코인 맥시멀리즘의 자기주권 명제가 이런 헤드라인보다 훨씬 먼저 예견했던 바로 그 길이다.