Revolut 유출 사건, 가짜 정부 요청에 고객 비트코인(BTC) 거래 기록 노출

가짜 정부기관 요청에 넘긴 데이터

영국 디지털 뱅크 Revolut가 정부기관을 사칭한 미확인 공격자에게 고객의 민감한 개인정보를 넘겨준 사실을 공식 확인했다. 전 세계 7,000만 명이 넘는 고객을 보유한 이 회사는 피해 고객에게 보낸 통지문에서, 권한 없는 이메일 주소로 들어온 정보 요청에 응했다고 설명했다. 문제는 그 주소가 실제 정부 도메인에 속해 있었고 유효한 도메인 인증 자격 증명까지 갖추고 있었다는 점이다. 이 조합 덕분에 요청은 진짜처럼 보였고, 은행 측은 실제 공공기관에서 온 것으로 합리적으로 믿고 처리했다고 밝혔다. 사칭 대상이 어느 기관이었는지는 공개되지 않았다. 유출된 기록에는 이름, 생년월일, 직업, 우편 주소, 이메일, 전화번호가 포함됐으며, 이것만으로도 피해 고객의 인신 안전을 위협하기에 충분하다. 여기에 여권과 운전면허증 이미지가 안면 인증 셀카와 짝을 이뤄 함께 넘어갔고, 신원 도용의 직접적인 통로가 열린 셈이다. 온체인 수사가로 활동하는 ZachXBT는 이번 사건이 규모 면에서는 제한적일 가능성이 높다고 보면서도, 피해 사용자들이 자산 규모가 큰 고객을 골라 노린 것으로 보인다는 점을 지적했다. 추가 표적 공격의 가능성을 키우는 대목이다. 이미 해체된 Aave Chan Initiative의 창립자 Marc Zeller는 공개 글에서 자신도 피해자 중 한 명임을 확인하며, 이번 유출이 의무 KYC 규칙이 의미 있는 보호를 제공하기는커녕 오히려 많은 이들을 위험에 노출시켰다는 뼈아픈 계기라고 평했다. 그의 사례는 특이 케이스가 아니다. Visa 같은 카드망 고객을 포함한 암호화폐 보유자 대상 물리적 ‘렌치 공격’이 빈도와 잔혹성 모두에서 늘어나는 가운데, 주소 정보가 유출되면 이런 표적 선정은 훨씬 쉬워진다. 이번 사건으로 Revolut는 고객 파일을 사칭자에게 흘려보낸 기관·암호화폐 기업 목록에 이름을 더하게 됐고, 의무적 KYC 정보 수집에 대한 전 세계적 반발은 더 깊어지고 있다.

피해 고객에게 보낸 통지문https://x.com/magicaltux/status/2098613398070305037

유출의 기술적 범위는 신원 파일보다 넓다. 업계 확인에 따르면 이번 공개에는 계좌 명세서와 IBAN, 계좌 개설일, 각 고객을 외부 지갑 주소와 연결하는 지갑 참조 번호, 출금 기록, 그리고 해당 고객의 비트코인 거래를 포함한 전체 거래 내역과 인증 셀카까지 담겨 있었다. Revolut는 생체 안면 측정 데이터는 침해되지 않았다고 강조했지만, 비밀번호나 개인 키, 고객 자금의 피해 여부에 대해서는 아무 말도 하지 않았으며 기록이 넘어간 고객 수도 아직 집계해 공개하지 않았다. 주목할 점은 이번 사건이 Revolut 인프라에 대한 직접적인 해킹이 아니었다는 사실이다. 데이터는 정부 및 사법기관 정보 요청을 위해 회사가 별도로 운영하는 전용 채널을 통해 빠져나갔고, 공격자는 단 한 통의 위조 메시지로 이 채널을 무기화했다. 이 구분은 후속 대응에서 중요하다. 패치해야 할 시스템 전반의 침해 징후는 없고, 자금이 움직였다는 증거도 지금까지는 없다. 그러나 개별 비트코인 이동 내역까지 포함한 재정 이력이 적대적인 손에 넘어간 고객에게는 이런 설명이 별 위로가 되지 못한다. 이 정도 깊이의 거래 로그가 있으면 공격자는 피해자의 자산 규모를 재구성하고, 현금화 패턴을 파악해 피해자가 집에 하드웨어 지갑이나 큰 잔액을 두고 있을 만한 시점을 골라 접근할 수 있다. 기록은 주문 유형 같은 거래 데이터까지는 미치지 않지만, 보유자 입장에서는 출금·이체 이력이 대개 더 위험한 노출이다. 세 가지 질문이 열려 있다. 공격자가 어느 기관을 사칭했는지, 몇 명의 고객이 피해를 입었는지, 그리고 침해된 기록이 실제 자금 손실로 이어지는지다. 회사는 직접 통지 외에 공개된 인시던트 페이지를 열지 않아, 연구자들은 개별 공개 사례를 하나씩 모아 피해 범위를 추적하는 형국이다. 시장을 실시간으로 추적하려는 독자는 Binance에서 현물·선물 가격을 실시간으로 확인할 수 있다.

위조 이메일 한 통으로 시작된 노출

두 차례의 공개를 종합하면 하나의 흐름이 드러난다. 중앙화된 신원 정보 저장소가 암호화폐 스택에서 가장 약한 고리로 변하고 있다는 것이다. 이번 사건의 1차 기록 — Revolut의 고객 통지문과 피해 사용자의 공개 글 — 은 체인이나 거래소가 뚫린 사례가 아니라, 은행이 위조된 요청에 응한 사례를 묘사한다. 리플레이 어택이나 온체인 익스플로잇과 달리 기술적으로 뚫어야 할 것이 전혀 없었다. 공격자는 그저 국가의 권위를 빌렸을 뿐이다. COINOTAG의 판단으로는 이번 교훈은 절차적 차원이다. 사법기관 정보 요청 채널에는 출금 화이트리스트만큼 엄격한 대역 외 검증이 필요하다. KYC 데이터가 고객 자산과 동일한 커스터디 기준으로 보호되기 전까지, 자산 규모가 큰 사용자는 위조된 이메일 한 통 만큼의 거리에서 유출 위험에 놓여 있는 셈이다.