트레저 고객정보 1만3689건 노출, 피싱 경로 넓어졌다

트레저(Trezor) 고객 주문정보 1만3689건이 물류업체 침해로 전부 또는 일부 노출되면서 하드웨어 지갑 이용자를 겨냥한 피싱 위험이 이메일·전화·우편·가짜 앱으로 넓어졌다.

트레저는 8월 13일 공식 블로그에서 물류업체 쉽몽크(ShipMonk) 침해로 고객 주문정보 1만1742건이 전체 노출되고 1947건이 부분 노출됐다고 밝혔다. 회사는 트레저 내부 시스템과 제품, 서비스는 영향을 받지 않았다고 설명했다.

전체 노출 정보에는 이름, 이메일, 전화번호, 배송지가 포함됐다. 부분 노출 정보에는 이름, 도시, 이메일이 들어갔다.

이번 침해는 미국, 영국, 스웨덴, 콜롬비아, 브라질, 이탈리아, 포르투갈로 발송된 주문 가운데 2026년 5월 10일부터 8월 8일까지의 주문에 걸쳤다. 트레저는 쉽몽크로부터 8월 10일 무단 접근 사실을 통보받은 뒤 영향을 받은 고객에게 이메일로 알렸다고 밝혔다.

트레저는 노출된 연락처 정보가 실제 고객을 겨냥한 사칭 공격에 쓰일 수 있다고 경고했다. 공격자는 이메일, 전화, 우편물, 거래소나 은행 사칭 연락을 통해 지갑 백업이나 복구 문구 입력을 유도할 수 있다.

1947건의 부분 노출 자료는 더 오래된 주문과 섞였을 가능성이 있다. 트레저는 쉽몽크와 정확한 노출 범위를 추가 확인하고 있다.

이번 사안은 트레저 고객정보가 배송 파트너 침해로 노출됐다는 앞선 보도 이후 구체적 규모와 공격면이 더 선명해진 사례다. 앞선 보도에서는 지갑 본체와 백업이 침해되지 않았지만 고객정보 노출에 따른 표적 공격 위험이 핵심으로 제시됐다.

공격 방식은 단순한 문자 사기에 그치지 않는다. 보안업체 래피드7(Rapid7)는 오퍼레이션 아스테릭스(Operation ASTERIX) 분석에서 AI 보조 개발 흔적, 가짜 트레저 스위트 앱, 시드 문구 탈취, 텔레그램 유출 코드를 확인했다고 밝혔다.

래피드7이 확인한 가짜 앱은 트레저뿐 아니라 렛저(Ledger), 엑소더스(Exodus) 앱도 모방했다. 하드웨어 지갑 이용자가 공식 앱으로 착각해 복구 문구를 입력하면 자산 통제권을 잃을 수 있는 구조다.

트레저의 보안 문서도 같은 방향을 짚고 있다. 회사는 사기범이 AI로 공식 지원을 텍스트뿐 아니라 음성·영상에서도 흉내 낼 수 있다고 안내했다.

트레저는 지갑 백업, 복구 시드, PIN, 비밀번호, 인증 코드를 요구하는 연락은 모두 사기로 봐야 한다고 적었다. 지갑 백업은 온라인에 입력하거나 누구와도 공유해서는 안 된다는 설명이다.

우편 피싱도 확인된 공격면이다. 블리핑컴퓨터(BleepingComputer)는 트레저와 렛저 이용자에게 실물 우편물이 발송됐고, 수신자가 QR코드를 스캔하면 가짜 사이트로 연결돼 복구 문구 입력을 요구하는 구조였다고 보도했다.

디크립트(Decrypt)는 트레저와 파운데이션(Foundation)이 콜드카드(Coldcard) 관련 이슈 이후 하드웨어 지갑 보유자를 겨냥한 피싱 증가를 경고했다고 전했다. 하드웨어 지갑 업계 전반에서 지갑 자체를 뚫기보다 사용자를 속이는 사회공학 공격이 늘고 있다는 신호다.

자가수탁 지갑은 개인키와 복구 문구를 사용자가 직접 지키는 구조다. 기기가 정상이어도 복구 문구를 웹사이트나 앱, 상담원에게 넘기면 자산 통제권은 공격자에게 넘어갈 수 있다.

한국 이용자에게도 핵심은 같다. 검색광고, 고객센터 사칭, 우편물, 가짜 앱처럼 접점이 다양해진 만큼 공식 사이트와 공식 앱 여부를 확인하고 복구 문구 입력 요구는 차단해야 한다.

이번 사안은 트레저 시스템 침해가 아니라 물류업체 침해와 사회공학 공격이 맞물린 사례다. 확인된 손실 총액은 제시되지 않았다.