Trezor 비트코인(BTC) 지갑 사용자, 도메인 유출 뒤 피싱 공격에 노출

Trezor 자체 도메인에서 발송된 피싱 메일

하드웨어 지갑 업체 Trezor가 9월 9일, 자사가 사용하는 제3자 이메일 공급업체가 해킹을 당했다고 공식 확인했다. 이로 인해 공격자는 Trezor의 정품 도메인에서 발송된 것처럼 보이는 피싱 메일을 뿌릴 수 있었다. 피싱 메일의 제목은 “Critical Security Alert: STM32 Entropy Vulnerability”로, 신형 Trezor 기기에 탑재된 STM32 마이크로컨트롤러의 난수 생성 결함을 이유로 들며 긴급 보안 점검을 요구했다. 이는 수신자가 공격자가 관리하는 페이지에 지갑 백업 구문을 입력하도록 유도하기 위한 미끼였다. Trezor는 X에 게시한 공식 입장문에서 해당 경고가 회사가 보낸 것이 아니며 어떤 링크도 클릭하지 말 것을 당부했다. 또한 침해된 도메인은 차단됐고, 공격자가 발송 권한을 확보한 경로에 대한 조사가 진행 중이라고 밝혔다. 9월 10일 기준으로 회사는 수신자 수, 이메일 업체의 신원, 확인된 사용자 피해 규모를 공개하지 않았다.

@Trezor · X 게시물

X에 게시한 공식 입장문.

X에서 보기

BitBox와 CoinTracking도 동일 공격에 피해

피해 반경은 Trezor에 그치지 않는다. 동일하게 침해된 이메일 플랫폼은 BitBox, CoinTracking, Peach Bitcoin (BTC), Blocktrainer도 서비스하고 있으며, 네 곳 모두 자사 고객에게 경고를 발령했다. 유통 중인 스크린샷에 따르면 공격은 브랜드별로 맞춤화됐다. CoinTracking 수신자에게는 조작된 유출 통지문이, BitBox 사용자에게는 마이크로컨트롤러 엔트로피 버그가 통보됐다. 이번 사건이 기술적으로 심각한 이유는 메일이 단순한 유사 도메인 위장이 아니었다는 점이다. Trezor 공식 포럼에 전체 이메일 헤더를 공개한 사용자들은 메일이 mailing.trezor.io를 통해 라우팅됐음을 확인했고, 다수는 SPF, DKIM, DMARC 인증을 모두 통과했다고 보고했다. 독립 분석에서는 악성 링크가 초기에 Trezor 자체 이메일 추적 서브도메인을 경유해 리디렉션됐던 것으로 나타났다. 링크 위에 마우스를 올려 발신 인프라를 확인하던 신중한 수신자조차 신뢰할 만한 주소를 봤다는 뜻이다. 보안 연구자들은 Brevo를 해당 플랫폼으로 지목했으나, Trezor가 업체명을 공식 확인하지 않아 이 식별은 아직 미확정 상태다.

@Trezor · X 게시물

유통 중인 스크린샷.

X에서 보기

ShipMonk 유출로 8만 명 이상 고객 정보 노출

이번 이메일 침해는 별도의 공급업체 사고가 있은 지 몇 주 만에 터졌다. Trezor는 8월 13일, 배송 파트너 ShipMonk가 해킹당해 처음에는 1만 1,742명 고객의 이름, 이메일, 전화번호, 배송지 등 전체 연락처 정보가 노출됐다고 공개했다. 추가로 1,947명이 부분적으로 영향을 받았으며, 이는 5월부터 8월 사이 접수된 주문과 연관돼 있었다. 이달 초 회사는 공개 범위를 확대했다. ShipMonk가 90일 삭제 정책에 따라 계약상 반드시 삭제했어야 할 과거 주문 데이터를 보관하고 있었던 것으로, 2019년 11월까지 거슬러 올라가는 주문을 둔 미국 고객 약 6만 7,000명이 추가 노출됐다. 합산 노출 규모는 이제 8만 명을 넘지만, Trezor는 단일 통합 수치를 발표하지 않았다. 회사는 당시 유출 데이터가 표적형 피싱, 전화 사기, 물리적 소셜 엔지니어링 공격의 재료로 쓰일 수 있다고 경고했는데, 지금 진행 중인 공격이 정확히 그 유형이다. 다만 ShipMonk 유출과 이메일 침해를 직접 연결하는 공개 증거는 없으며, 메일링 리스트가 과거 유출 기록에서 나왔는지도 확인되지 않았다. Trezor의 지원 티켓 포털은 이미 2024년 1월에도 해킹을 당해 약 6만 6,000명의 사용자가 피싱 위험에 놓인 바 있다. 시장을 실시간으로 추적하려는 독자는 Bybit에서 현물·선물 가격을 실시간으로 확인할 수 있다.

콜드 월렛도 공급망 리스크는 못 막는다

우리가 이번 사건 기록을 검토한 결론은 하나의 테마로 수렴한다. 공격자들은 하드웨어 자체를 뚫으려는 것이 아니라, 하드웨어를 둘러싼 모든 것을 노리고 있다. MEV 추출, 옴니체인 브릿지 익스플로잇, 크립토 믹서를 통한 자금 세탁 같은 온체인 위협과 달리 이번 캠페인에는 자금 인출 트랜잭션이 필요하지 않다. 실제로 이번 공격과 연관된 확인된 온체인 피해는 아직 보고되지 않았고, 1차 증거는 Trezor의 공식 사고 발표로 한정된다. 회사의 대응 지침도 변함이 없다. 어떤 웹사이트에도 지갑 백업 구문을 입력하지 말고, 발신자가 아무리 진짜처럼 보여도 시드 구문, PIN, 인증 코드를 요구하는 모든 메시지는 사기로 간주하라는 것이다.