Revolut 협박범, 고객 비트코인(BTC) 거래기록 유출 개시...매일 추가 공개 경고

금전 요구와 매일의 정보 유출

핀테크 기업 Revolut의 고객 데이터, 그 안에 담긴 비트코인 거래기록까지 한꺼번에 노출되면서 보안 사태가 빠르게 번지고 있다. 'Revolut Smilik'을 자칭하는 그룹은 취재진에게 회사를 상대로 금전을 요구하고 있음을 확인했고, 텔레그램에서 회사가 지급을 거부할 경우 탈취한 파일을 "매일" 점점 많이 공개하겠다고 경고했다. 피해 고객 소유로 주장하는 파일들, 일부 유명인의 신원확인 서류까지 포함된 자료가 지난 9월 13일부터 X와 텔레그램에서 유통되기 시작했다. Revolut는 피해 고객 수를 밝히지 않았고, 협상 여부에 대해서도 입장을 정하지 않았다.

사태의 발단은 회사의 예상 밖 인정에서 나왔다. 정부기관의 실제 도메인에서 호스팅된 이메일 계정으로부터 무단 제3자가 기록 열람 요청을 제출했고, Revolut는 이를 진짜 요청으로 받아들여 신원 서류, 계좌 내역, 경우에 따라서는 비트코인 거래기록 전체를 넘겨준 것이다. 회사는 이번 사건을 데이터베이스 직접 해킹이 아닌 정교한 외부 사칭 스캠으로 규정하며, 핵심 인프라와 데이터베이스, 고객 자금은 결코 침해되지 않았다고 강조했다. Revolut는 기만이 드러나자 곧바로 해당 주소를 차단했고 정부기관, 수사기관, 개인정보보호 당국, 금융감독기관에 사건을 보고했으며, 피해 고객이 "매우 제한적"이라는 입장을 유지하고 있다. 요컨대 잘못된 방향으로 흘러간 정보 공개가 이제 공개 일정표까지 갖춘 2단계 협박 작전으로 굳어진 셈이다. 영국 정보감독관청(ICO)은 Revolut의 사고 보고서 접수를 확인했고 자료 검토를 진행 중인데, 이 규제 기록은 향후 영국 개인정보보호법상 사건이 어떻게 처리될지를 좌우할 것이다. 똑같이 중요한 것은 아직 공개되지 않은 사항들이다. 피해자 수, 사칭된 기관의 정체, 몸값 요구액이다.

여권, 셀카, 거래내역까지

Revolut 시스템에서 빠져나온 자료의 민감성이 이 사건을 단순한 이메일 유출 사고의 차원을 넘어서게 한다. 온라인에 돌고 있는 고객 통지문에는 이름, 생년월일, 우편·이메일 주소, 전화번호, 여권과 운전면허증 사본, 신원확인 셀카, 계좌 내역, IBAN, 출금 기록, 전체 거래 내역이 나열됐다 — 비트코인 활동이 명시적으로 언급됐다. 통지문을 공유한 Mt. Gox CEO Mark Karpelès는 자신도 피해자 중 한 명임을 확인했다. 온체인 조사가 ZachXBT는 토요일 이 사건을 지적하며 고액 자산가, 업계 용어로 고래급 사용자를 겨냥한 것으로 보인다고 시사했다. 다만 Revolut는 피해자가 자산 규모가 큰 고객에 집중됐는지 확인하지 않았고, 온체인 데이터만으로는 아직 패턴을 확정할 수 없다.

이번 노출은 렌치 공격(레지 않은 자산 보유자의 실명, 주소, 잔액을 파악한 범죄자가 전자적 기교 대신 물리적 협박으로 접근하는 수법)에 대한 우려도 한층 키운다. 실패 양상 자체가 시사점을 준다. 하드웨어 지갑 업체 Trezor는 지난주 구조적으로 유사한 문제를 공개했다. 이메일 공급업체 침해로 공격자가 Trezor 자체 도메인에서 피싱 메시지를 보낼 수 있었던 것이다. 그로부터 며칠 전에는 물류사 ShipMonk 침해로 또 다른 미국 고객 67,000명의 정보가 유출된 바 있다. Revolut에 걸린 판돈은 작지 않다. 8,000만 명이 넘는 고객을 보유한 이 회사는 이달 미국 통화감독청(OCC)으로부터 국립은행 설립에 대한 조건부 승인을 받았고, 8월에는 유로 스테이블코인 EURR을 덴마크·폴란드·포르투갈에 걸쳐 배포를 시작했으며, 기업가치 최대 2,000억 달러로 평가받을 수 있는 상장을 검토 중인 것으로 알려져 있다. 법정화폐와 암호화폐를 잇는 규제 준수 은행 다리로 자신을 내세우는 회사에게 신뢰가 흔들리기 쉬운 순간이다.

ICO 검토와 풀리지 않는 질문들

더 넓은 비트코인 생태계 관점에서 이번 사건은 온체인 익명성이 결국 가장 취약한 KYC 보관고만큼 강하다는 냉정한 사실을 일깨운다. 우리의 판단은 이렇다. 이것은 리플레이 어택이나 그 밖의 원장 수준 장애가 아니었다. 키가 탈취되지도, 합의 규칙이 깨지지도 않았다. 정부 채널 요청의 진위를 검증하던 기관 절차가 무너진 것이다. 영국 감독기관이 보고서 검토를 계속하는 가운데 Revolut가 피해자 수, 몸값 규모, 기관명을 공개하지 않고 있어, 정보감독관청의 조사 결과가 피해 범위에 관한 첫 공신력 있는 기록이 될 것이다. 셀프 커스터디로 HODL 전략에 따라 장기 보유되는 코인은 어떤 플랫폼의 데이터 창고에도 존재하지 않는다. 핀테크 앱부터 최고 암호화폐 거래소에 이르는 중앙화 플랫폼에 어느 만큼의 신원 데이터를 맡길지 판단할 때 고려할 요소다.