트레저 고객 8만명대 정보 노출, 배송망 보안 흔들

하드웨어 지갑 업체 트레저(Trezor)의 물류 파트너 유출 사고 영향 범위가 미국 과거 주문 고객 약 6만7000명으로 추가 확대됐다. 지난달 처음 공개된 1만3689명과 단순 합산하면 전체 영향 고객은 약 8만689명이다.

트레저는 4일 공지에서 물류 파트너 쉽몽크(ShipMonk)가 지난 2일 침해 범위가 기존보다 컸다고 통보했다고 밝혔다. 새로 확인된 노출 대상은 2019년 11월부터 2021년 8월 사이 주문한 미국 고객이다.

추가 노출 정보에는 이름, 이메일, 전화번호, 배송지 주소, 주문번호가 포함됐다. 트레저는 배송물 자체의 내용물은 노출되지 않았다고 설명했다.

앞서 트레저는 지난달 13일 처음 사건을 공개하며 1만1742명은 이름, 이메일, 전화번호, 배송지 주소가 노출됐고 1947명은 이름, 도시, 이메일이 노출됐다고 밝혔다. 당시 공개된 전체 영향 고객은 1만3689명이었다.

이번 사건은 지갑 기기 해킹이 아니다. 트레저는 자사 시스템과 제품, 서비스가 영향을 받지 않았고 개인키와 지갑 백업도 유출되지 않았다고 밝혔다.

다만 주문·배송 정보는 암호화폐 보유자를 겨냥한 사회공학 공격의 재료가 될 수 있다. 이름과 연락처, 실제 주소, 구매 이력이 함께 노출되면 단순 스팸을 넘어 사칭 연락과 물리적 표적화 위험으로 이어질 수 있다는 분석이다.

트레저는 유출 정보가 사기 이메일, 사칭 전화, 허위 편지, 가짜 은행·거래소·트레저 안내에 쓰일 수 있다고 경고했다. 회사는 이용자에게 지갑 백업이나 시드 문구를 웹사이트에 입력하거나 다른 사람에게 공유하지 말라고 안내했다.

하드웨어 지갑은 개인키를 온라인 환경에서 분리해 보관하는 장치다. 그러나 구매와 배송 과정에서는 이름, 전화번호, 이메일, 주소 같은 식별 정보가 물류 협력사 시스템을 거친다.

이번 사고는 지갑 보안과 고객정보 보호가 별도 문제라는 점을 드러냈다. 기기와 개인키가 안전하더라도 배송·결제·고객지원 과정에서 보관된 개인정보가 노출되면 이용자는 다른 공격면에 놓인다.

트레저는 쉽몽크와의 계약과 데이터 정책에 따라 배송 후 90일이 지난 주문 데이터가 삭제 또는 익명화돼야 한다고 설명했다. 또 쉽몽크로부터 데이터 삭제를 확인하는 서면 보증을 여러 차례 받았다고 밝혔다.

그러나 추가 조사에서 2019년부터 2021년 사이 주문 데이터가 남아 있었던 것으로 확인됐다. 이에 따라 제3자 물류망의 데이터 보관과 삭제 통제가 이번 사안의 핵심 쟁점으로 떠올랐다.

기술적 배경에는 메타베이스(Metabase) 취약점이 있다. 메타베이스는 지난달 27일 보안 경위 공개문에서 지난달 3일 이상 징후를 보고받은 뒤 비밀번호 재설정 경로와 연결된 제로데이, SQL 인젝션 체인을 확인했고 지난달 6일 패치했다고 밝혔다.

메타베이스는 패치 전 일부 클라우드 고객이 침해됐다고 설명했다. 해당 비율은 3% 미만이라고 밝혔다.

본지는 앞서 트레저 고객정보가 배송 파트너 침해로 노출됐다는 사안을 전하며 지갑 본체와 백업이 침해되지 않았더라도 고객정보 노출이 표적 공격으로 이어질 수 있다고 보도했다. 이번 추가 노출은 과거 주문 데이터가 쉽몽크 시스템에 남아 있었다는 점에서 앞선 공지보다 범위와 쟁점이 넓어졌다.

트레저는 유럽연합에는 2026년 9월, 미국에는 2026년 말까지 익명 배송 서비스를 도입하겠다고 밝혔다. 회사는 영향을 받은 고객에게 직접 이메일을 보냈으며, 일부 부분 노출 기록의 정확한 시점은 쉽몽크와 계속 재검증하고 있다.