SafePal 가짜 편지 이탈리아 고객 3만9,798건 유출 데이터 악용

가짜 SafePal 편지, 이탈리아 가정 우편함까지 도착

하드웨어 지갑 업체 SafePal의 고객을 겨냥한 우편 사기가 이탈리아에서 확인됐다. 사기범은 지난 8월 유출된 개인정보를 이용해 가짜 SafePal 편지를 고객의 실제 주소로 직접 발송하고 있다. 편지는 수취인의 기기에 펌웨어 결함, 즉 지갑에 내장된 소프트웨어의 결함이 있다고 주장하고, 페이지에 인쇄된 QR 코드로 이를 수정하라고 지시한다. 이 코드는 분산 저장 네트워크인 Arweave에 올라온 가짜 SafePal 웹사이트로 연결된다. Arweave는 파일을 영구 보관하도록 설계된 네트워크라 일반 호스팅보다 가짜 페이지를 내리기가 훨씬 어렵다.

편지와 사이트 모두 고객의 실명, 우편 주소, 주문 내역을 정확히 표시하며, 바로 이 정밀함이 우편물을 그럴듯하게 만든다. 실제 표적은 복구 문구다. 복구 문구는 어떤 기기에서든 지갑을 다시 만들어내는 백업 단어 목록으로, 이 문구를 가짜 사이트에 입력한 보유자는 지갑에 담긴 모든 코인을 잃는다. 단어만으로도 공격자의 기기에서 잔액을 복원할 수 있기 때문이다. 이탈리아 커뮤니티 계정은 11월 12일 X 게시물에서 정확한 개인정보와 개인화 링크가 담긴 편지가 SafePal 구매자에게 발송됐다고 지적했다. SafePal 지원팀은 같은 날 목요일 해당 활동을 확인하고 8월 유출 사고와 연결했다. 팀은 편지가 “SafePal에서 보낸 것이 절대 아니다”라고 밝히며, 지갑 인프라는 안전하게 유지되고 있고 회사는 실물 우편을 보내거나 시드 문구를 요청하는 일이 절대 없다고 덧붙였다. 수취인에게는 QR 코드가 보이는 상태로 회사의 사기 방지 페이지를 통해 편지를 신고해 달라고 요청했고, 이를 통해 가짜 사이트를 차단할 수 있다. 인터넷에 항상 연결된 핫월렛과 달리 하드웨어 지갑은 거래를 오프라인에서 서명한다. 공격자가 기기가 아니라 문구를 노리는 이유가 바로 여기에 있다.

8월 유출 사고와 Ledger 선례

우편물에 쓰인 주소 목록의 출처는 SafePal이 8월 16일 공개한 보안 공지로 거슬러 올라간다. 회사의 보안 업데이트에 따르면 주문 추적 플러그인의 결함으로 2025년 3월부터 2026년 4월 사이 주문을 넣은 3만9,798명의 고객 정보가 노출됐다. 이 플러그인은 회사 온라인 스토어에서 배송 추적을 담당했으며 지갑 내부 보안과는 무관했다. 이름, 이메일 주소, 우편 주소, 전화번호, 구매 내역이 새어 나갔다. 복구 문구, 개인키, 카드 번호는 유출되지 않았다고 회사는 설명한다. SafePal은 몇 통의 편지가 발송됐는지, 이탈리아 외 수취인에게도 도착했는지는 밝히지 않았다. 우편 주소는 만료되지 않고, 원래 유출에서 몇 달이 지난 뒤에 이번 캠페인이 등장했다는 점은 해당 데이터가 여전히 유통 중임을 보여준다. 이런 패턴은 새롭지 않다. Ledger는 2020년 유출 사고에서 약 27만2,000명의 우편 주소를 잃었고, 가짜 Ledger 편지는 5년 뒤인 2025년에야 가정으로 도착하기 시작했다. Trezor의 배송 협력사는 올해 8월 1만3,689건의 고객 기록을 유출하며 목록에 세 번째 하드웨어 지갑 브랜드를 추가했다. Trezor와 SafePal 모두 지갑 자체의 침해는 보고하지 않았다. 두 사건에서 기기는 그대로였고, 노출된 것은 기기 주변의 고객 데이터였다. 거래소 위탁 보관과 이런 기기의 차이를 확실히 하고 싶은 보유자에게는 하드웨어 지갑 작동 방식 가이드가 기기가 실제 서명하는 대상을 설명해 준다. 이번 사건 이후에도 콜드월렛과 인터넷 연결 계정 사이의 실질적 경계는 그대로다. 하드웨어는 프라이빗 키를 오프라인에 두고, 데이터 유출은 소유자의 주소를 누가 아느냐만 바꾼다.

기록이 분명히 하는 말은 하나다. 지갑은 침해되지 않았고, 이 사기는 수취인이 직접 문구를 입력해야만 성립한다. 여기서 1차 자료인 SafePal의 공식 입장은 지갑 인프라가 안전하며 우편으로 시드 문구를 요청하는 일이 없다는 점을 확인한다. 노출은 8월 이후 주소 데이터에 그대로 남아 있고, 방어의 책임도 언제나 그렇듯 사용자에게 있다. 복구 문구를 요구하는 편지는 어떤 로고를 달고 있든 정의상 사기이며, 이를 무시한 보유자의 자금은 원래 자리에 그대로 있다.