2.5GB 개인정보 유출… 나스닥 상장 피겨 테크놀로지, 블록체인 대출 플랫폼 ‘보안 시험대’

블록체인 기반 대출 플랫폼 ‘피겨 테크놀로지(Figure Technology)’가 해킹 공격으로 고객 개인정보가 유출되는 사고를 겪었다. 공격자는 직원 한 명을 노린 사회공학(social engineering) 기법을 통해 내부 접근 권한을 탈취한 뒤, 회사를 상대로 한 몸값 요구가 거절되자 실제 고객 데이터를 다크웹에 공개한 것으로 알려졌다.

보도에 따르면, 피겨 테크놀로지는 이번 침해 사고로 ‘제한된 수의 파일’이 유출됐다고 외신 테크크런치(TechCrunch)에 밝혔다. 회사 측은 현재 영향받은 개인과 기관에 통지 절차를 진행 중이며, 통보를 받은 이들을 대상으로 신용 모니터링 서비스를 무상 제공하겠다고 약속했다. 다만 몇 명의 고객 정보가 유출됐는지, 침해 사실을 언제 어떤 경로로 처음 인지했는지 등 구체적인 범위와 시점은 공개하지 않았다.

해커 그룹 ‘샤이니헌터스’, 몸값 협상 결렬 후 고객 정보 유출

이번 공격은 그동안 여러 대형 데이터 유출 사건에 연루돼온 해킹 조직 ‘샤이니헌터스(ShinyHunters)’가 배후를 자처했다. 이들은 다크웹 유출 사이트에 피겨 테크놀로지로부터 탈취했다고 주장하는 약 2.5GB 분량의 데이터를 게시하며, 회사가 몸값 지급 요구를 거절했기 때문에 자료를 공개했다고 주장했다.

테크크런치는 샘플 데이터를 직접 열람한 결과, 유출 파일 안에 고객의 ‘이름, 자택 주소, 생년월일, 전화번호’ 등 민감한 개인정보가 포함돼 있었다고 전했다. 이 정도 정보 조합이면 신원 도용, 금융 사기, 표적 피싱 메일 발송 등 2차 피해로 이어질 가능성이 높다는 점에서 우려가 커지고 있다.

온체인 보안 업계에서는 이번 사건을, 블록체인 기반 인프라를 도입한 핀테크 기업이라 하더라도 ‘인간’을 노리는 사회공학 공격 앞에서는 여전히 취약할 수 있다는 경고 신호로 보고 있다. 특히 고객 식별 정보(KYC 데이터)를 보유한 업종 특성상, 한 번의 침해가 장기적인 피해로 이어질 소지가 크다는 점이 지적된다.

암호화폐 피싱 피해 줄었지만, 위협 양상은 ‘진화 중’

한편 암호화폐 업계 전반에서는 피싱과 지갑 탈취 공격이 단기간에 줄어든 양상을 보이고 있다. 웹3 보안업체 ‘스캠 스니퍼(Scam Sniffer)’ 자료에 따르면, 각종 지갑 드레이너(wallet drainer)와 연계된 암호화폐 피싱 공격 피해액은 2024년 약 4억 9,400만달러(약 7,135억 원)에서 2025년 8,385만달러(약 1,211억 원)로 83%나 감소했다. 피해자 수도 이더리움 가상머신(EVM) 기반 체인 전체에서 2024년에 비해 68% 줄어든 약 10만 6,000명 수준으로 떨어졌다.

다만 연구진은 이 같은 감소세가 곧 ‘위협의 종식’을 의미하지는 않는다고 강조한다. 실제로 피싱 공격에 따른 손실 규모는 시장 온체인 거래량과 밀접하게 움직였고, 2025년 이더리움(ETH) 강세장이 펼쳐졌던 3분기에는 단일 분기로만 약 3,100만달러(약 448억 원)의 피해가 발생했다. 2025년 월별 손실은 12월 약 204만달러(약 29억 원)에서 8월 약 1,217만달러(약 176억 원)까지 널뛰기를 보였다.

전문가들은 “가격이 오르고 온체인 활동이 활발해질 때 공격자들도 다시 움직인다”며, 공격 건수는 줄더라도 단일 공격 규모가 커지거나, 이번 피겨 테크놀로지 사례처럼 중앙화된 고객 데이터베이스를 노리는 쪽으로 전술이 바뀔 수 있다고 경고한다.

나스닥 상장 ‘피겨 테크놀로지’, 온체인 주식 플랫폼 키우는 와중에 악재

피겨 테크놀로지는 2025년 9월 나스닥(Nasdaq)에 상장한 블록체인 기반 핀테크 기업이다. 상장 당시 공모가는 주당 25달러(약 3만 6,120원)로, 기업은 약 7억 8,750만달러(약 1조 1,383억 원)를 조달했다. 공모가 기준 초기 기업가치는 약 53억~76억달러(약 7조 6,574억~11조 701억 원) 수준으로 평가됐다.

이 회사는 대출 등 금융 서비스를 자체 블록체인 ‘프로비넌스(Provenance)’ 위에 올리는 것으로 주목을 받아왔다. 특히 지난달에는 ‘온체인 퍼블릭 에쿼티 네트워크(OPEN)’라는 플랫폼을 출시해, 기업이 실제 주식을 블록체인 상에서 발행하고 투자자들끼리 중개사, 수탁기관, 전통 거래소 없이도 주식을 담보로 대출·대차할 수 있는 구조를 선보였다.

OPEN은 전통 자본시장과 온체인 금융을 잇는 실험 사례로 평가받았지만, 이번 데이터 유출은 규제 당국과 기관 투자자들이 가장 민감해하는 ‘신뢰’와 ‘보안’ 이슈를 정면으로 건드린 셈이 됐다. 개인정보 보호와 사이버 보안 체계에 대한 검증 요구가 한층 더 강화될 가능성이 크다.

개인정보 유출, 온체인 금융 신뢰도 시험대 올릴까

이번 피겨 테크놀로지 해킹 사건은 블록체인 기반 대출·증권화 플랫폼이 성장하는 과정에서, 여전히 ‘오프체인’에 남아 있는 고객 데이터와 인력 보안이 가장 취약한 고리라는 사실을 재확인시켰다. 탈중앙 기술을 앞세운 핀테크 스타트업이라도, 중앙화된 고객 정보 저장과 직원 인증 체계가 허술하면 전통 금융사와 다르지 않은 리스크에 노출될 수 있다는 의미다.

시장에서는 이번 사건이 피겨 테크놀로지뿐 아니라, 온체인 증권·실물 자산 토큰화(RWA)를 준비 중인 다른 프로젝트들에도 경고를 보내는 계기가 될 것으로 보고 있다. 개인정보 보호 규제가 강화되는 환경에서, ‘블록체인 기반 혁신’과 ‘데이터 보안·프라이버시’ 사이 균형을 어떻게 맞출지가 향후 온체인 금융의 신뢰도와 확산 속도를 좌우할 전망이다.