레저, 또 고객정보 유출…하드웨어 지갑은 안전하지만 피싱 위험 커졌다

Ledger, 또다시 고객 정보 유출…피싱 위험 재점화

암호화폐 하드웨어 지갑으로 유명한 레저(Ledger)가 또다시 고객 개인정보 유출 사고를 겪으며 보안 우려가 커지고 있다. 이번 사고는 지갑 자체가 아닌 외부 결제 처리 파트너 ‘글로벌이(Global-e)’의 해킹으로 인해 발생했으며, 고객의 이름과 연락처 등이 노출된 것으로 확인됐다.

1월 5일, 블록체인 보안 전문가 잭엑스비티(ZachXBT)는 레저가 사용하는 글로벌이의 시스템이 해킹당했으며, 이를 통해 고객들의 ‘개인 정보’가 유출됐다고 밝혔다. 피해 고객들은 레저로부터 관련 통지를 받았으며, 글로벌이 측은 클라우드 환경에서 수상한 활동을 즉시 발견하고 외부 포렌식 전문가와 협력해 대응했다고 주장했다.

지갑은 안전하지만 개인정보 피싱 위험은 여전

레저는 명확히 강조했다. 이번 유출은 자사 하드웨어 지갑의 근본적인 보안 문제와는 무관하며, 고객 자산도 전혀 영향을 받지 않았다고 밝혔다. 실제로 결제 카드정보, 패스워드, 24단어 복구 문구, 지갑의 개인키 등 핵심 정보는 노출되지 않았다.

하지만 전문가들은 단순히 연락처 정보만 노출됐다고 안심할 수 없다고 경고한다. 암호화폐 업계에서는 과거에도 비슷한 정보가 피싱, 사기, 심지어 물리적 위협에 악용된 사례가 많았다. 특히 레저는 2020년 대규모 고객 정보 유출로 인해 오랜 시간 반복적인 피싱 공격과 협박에 시달린 바 있다. 당시에는 110만 개 이메일 주소와 약 29만 개 사용자의 자택 주소, 전화번호가 유출돼 지금도 그 여파가 이어지고 있다.

공급망 보안, 크립토의 가장 큰 허점

이번 사건은 단순한 해킹 이상의 의미를 지닌다. 최근 며칠 사이에만도 트러스트월렛(Trust Wallet)과 메타마스크(MetaMask) 사용자들이 브라우저 확장 프로그램을 통한 자산 유출 피해를 겪었다. 같은 시기, 암호화폐 세금 소프트웨어 코인리(Koinly) 역시 Mixpanel 해킹으로 이메일 일부가 노출됐다고 발표했다.

이처럼 보안 사고가 동시다발적으로 발생하면서 사용자들의 불안은 점점 커지고 있다. 특히 공격자들이 주로 노리는 대상이 사용자 데이터에 접근할 수 있는 ‘공급망 파트너’들인 점은 구조적인 취약점으로 작용하고 있다.

2023년 12월 발생한 ‘레저 커넥트 킷(Connect Kit)’의 자바스크립트 라이브러리 변조 공격 또한 같은 맥락이다. 당시 일부 디앱 사용자들이 약 50만 달러(약 7억 2,440만 원) 상당의 자산을 탈취당했다. 하드웨어는 무사했지만, 제3자인 디앱 연결도구의 취약점이 화를 키웠다.

지속되는 사기 시도…위험은 현재진행형

이후에도 공격자들은 유출된 정보를 바탕으로 정교한 피싱 공격을 이어왔다. 지난해 4월, 일부 레저 사용자는 정식 우편으로 위장한 가짜 안내문을 받았고, 여기에 적힌 QR코드를 스캔하고 24단어 복구 문구를 입력하도록 유도받았다. 레저는 공지를 통해 명확히 해명했지만, 당시 피해자 일부는 이미 자금을 잃은 후였다.

레저 사용자는 물론, 암호화폐 투자자라면 공급망 기반 해킹 위험을 더 이상 간과해서는 안 된다. 설령 지갑이 완전 무결하더라도, 이름이나 이메일 하나가 유출되면 심각한 2차 피해로 이어질 수 있기 때문이다.

업계 전반에서 피싱 피해는 2025년 한 해 동안 83% 감소했다고 발표됐지만, 전문가들은 시장이 활기를 되찾으면 다시 공격이 집중될 수 있다고 경고한다. 지금 이 순간에도 공격자들의 수법은 진화하고 있다.

TP AI 유의사항

TokenPost.ai 기반 언어 모델을 사용하여 기사를 요약했습니다. 본문의 주요 내용이 제외되거나 사실과 다를 수 있습니다.