Revolut 가짜 정부 이메일로 Bitcoin(BTC) 거래 기록 노출, 9월 11일 경보 발송

가짜 정부 이메일, 진짜 도메인

Revolut가 공식 정부 채널로 보이는 단일 사기 이메일에 속아 고객 파일을 넘겨준 사실을 확인했다. 유출된 파일에는 Bitcoin 거래 내역과 관련된 기록(BTC)도 포함돼 있었다. 메시지는 실제 정부 기관의 이메일 도메인에서 발송됐고 도메인 인증 자격도 유효했기 때문에, 회사는 요청이 진짜라는 합리적 판단 아래 이를 이행한 것으로 설명했다. Revolut는 성명에서 이번 사건을 “무단 제3자가 합법적인 정부 기관 도메인 이메일을 이용해 사건성 정보 요청을 제출한 정교한 외부 사칭 공격”으로 규정하고, 자사 시스템과 고객 자금은 영향받지 않았다고 밝혔다. 은행 측은 문제를 인지하자마자 발신자를 차단하고 해당 기관과 경찰, 데이터보호 및 금융 규제 당국에 통보했으며, 이른바 제한된 수의 피해 고객에게 연락했다고 한다. 회사가 공개하지 않은 것은 어떤 기관의 도메인이 악용됐는지다. 경찰 수사가 진행 중이라는 이유인데, 정부 메일함이 탈취됐는지 아니면 그 안에 이미 있던 누군가가 보내기 버튼을 눌렀는지는 열려 있는 질문으로 남는다. 유출을 처음 지적한 블록체인 수사가 ZachXBT는 소수 이용자에게 영향을 준 것으로 보이며 부유층을 겨냥한 것처럼 보인다고 말했다. Bitcoin 뉴스 흐름을 쫓는 독자에게 이 사건은 일반적인 거래소 해킹과 결이 다르게 다가온다. 키도 자금도 움직이지 않았지만, 유출된 자료는 온체인 활동을 실명·위치 확인 가능한 개인으로 바꿔놓는다. Revolut 자신의 설명대로라면 공격자가 한 일은 이메일 한 통을 쓰고 기다리는 것뿐이었고, 값비싼 실패는 은행 자체 컴플라이언스 절차 안에서 일어난 셈이다.

여권, 셀카, 지갑 식별번호

사건의 핵심인 고객 통지문 — ZachXBT가 자신의 조사 채널에 공개했다 — 은 Revolut가 나간 것이라 밝힌 데이터 항목을 열거한다. 여기에는 성명, 생년월일, 직업, 우편 주소, 이메일 주소, 전화번호가 포함되고, 여권·운전면허증 등 신분증 사본과 신원확인을 위해 고객이 제출한 셀카 사진도 함께했다. Revolut는 한 가지 구분을 강조했다. 사진에서 생성된 얼굴 템플릿, 즉 생체 얼굴 데이터 자체는 유출에 포함되지 않았지만 사진 원본은 그렇지 않았다는 것이다. 계좌 명세서도 별도의 공개 항목이었고, 여기에는 IBAN, 계좌 상태, 개설일, Bitcoin (BTC) 지갑 식별번호, 출금 기록, 전체 거래 내역이 담겨 있었다. 통지문은 공개될 수 있는 정보의 항목을 나열한 것일 뿐, 피해 고객 전원이 모든 기록을 보유했다는 뜻은 아니며 사설키, 계정 비밀번호, 결제카드 전체 정보가 포함됐다는 취지도 아니다. ZachXBT에 따르면 다수의 고객이 금요일인 9월 11일 경고 이메일을 받았지만, 그도 통지문 일부도 피해 이용자 수는 확정하지 않았다. 배경이 중요하다. Revolut는 전 세계 8,000만 명 이상의 고객을 보유하고 있고, 9월 3일 미국 통화감독청(OCC)으로부터 조건부 은행 인가를 받았으며, 8월 26일부터 덴마크·폴란드·포르투갈 고객 대상 EURR 스테이블코인 배포를 시작했다. 데이터 관리 기록이 중요해진 확장이다. 커스터디 플랫폼과 자기관리(셀프 커스터디)를 저울질하는 이용자는 최고 암호화폐 거래소 가이드에서 선택지를 비교해볼 수 있다.

시스템을 이긴 사회공학

회사의 추가 확인은 노출 범위를 좁혔다. Revolut 대변인은 비밀번호, 로그인 자격증명, 생체 데이터는 절대 공개되지 않았으며 자금 이동도 없었고 고객 계좌는 안전하게 유지되고 있다고 말했다. 이 해명이 나오는 동안 보안 관계자들은 유출된 고객 명단을 둘러싼 더 어두운 패턴을 짚는다. 노출된 실주소는 역사적으로 암호화폐 보유자에 대한 물리적 공격의 전조였고, 인증된 셀카·여권·Bitcoin 입출금 전체 기록의 결합은 일반 피싱 위험을 훌쩍 넘는 부담을 만든다. 은행 측은 공격자가 합법적인 정부 이메일 시스템을 악용해 사기성 요청을 보냈고, 그 요청을 자사 컴플라이언스 절차가 진짜로 수용했다는 입장을 유지하며, 관련 기관의 신원은 진행 중인 경찰 수사로 인해 비공개 상태다. 실시간 시세를 추적하는 독자는 Binance에서 현물·선물 가격을 라이브로 확인할 수 있다.

(10:39 UTC 기준) 우리의 판단은 이렇다. 경계는 버텼고 절차가 무너졌다. Revolut 인프라를 건드린 익스플로잇은 없었지만, 잘 만들어진 사칭 이메일 한 통이 암호화폐 보유자가 가질 수 있는 가장 민감한 기록 일부를 끌어냈다. 지속되는 리스크는 잔고가 아니라 신원이다. 비밀번호는 1분이면 재설정되지만 여권은 그렇지 않고, 실주소에 지갑 식별번호를 짝지으면 온체인 데이터만으로는 불가능한 피싱·물리적 표적 노출이 생긴다. 규제 기준도 명확하다. 영국 정보감독기관(ICO)의 유출 가이드라인은 특정 개인정보 유출을 72시간 이내에 보고하고, 위험이 높으면 지체 없이 당사자에게 통지하도록 요구한다. 피해 집단이 고래급 보유자 쪽으로 쏠려 있는지는 아직 확인되지 않았다.