트레저 고객 6만7000명 주문정보 추가 노출

트레저(Trezor) 물류업체 쉽몽크(ShipMonk)의 데이터 유출 사고 영향 범위가 미국 과거 주문 고객 약 6만7000명으로 확대됐다. 추가 노출 정보에는 이름, 이메일, 전화번호, 배송 주소, 주문번호가 포함됐다.

우블록체인은 4일 오후 7시6분(한국시간) 트레저가 쉽몽크 사고의 영향 범위가 넓어졌다고 밝혔다고 전했다. 추가 영향을 받은 고객은 2019년 11월부터 2021년 8월 사이 주문한 미국 고객이다.

트레저는 앞서 8월 13일 공식 블로그에서 쉽몽크 시스템에 대한 무단 접근으로 고객 주문 정보 1만3689건이 노출됐다고 밝혔다. 이 가운데 1만1742명은 이름, 이메일, 전화번호, 배송 주소가 노출됐고 1947명은 이름, 도시, 이메일이 노출됐다.

당시 대상 국가는 미국, 영국, 스웨덴, 콜롬비아, 브라질, 이탈리아, 포르투갈이었다. 트레저 고객 주문정보 1만3689건이 물류업체 침해로 노출됐다는 본지 보도 이후 과거 주문 데이터까지 영향 범위에 포함된 셈이다.

이번 추가 노출은 과거 주문 데이터가 쉽몽크 시스템에 남아 있었다는 점에서 앞선 공지와 다르다. 트레저는 쉽몽크로부터 계약과 데이터 정책에 따라 관련 데이터가 삭제됐다는 서면 확인을 여러 차례 받았지만, 실제로는 해당 정보가 쉽몽크 시스템에 보관돼 있었다고 설명했다.

쉽몽크는 트레저 제품의 보관과 배송을 맡은 물류 파트너다. 하드웨어 지갑처럼 물리 제품을 전 세계로 보내는 사업에서는 주문 처리 과정에서 이름, 주소, 연락처, 이메일 등 배송 정보가 협력사 시스템을 거친다.

트레저는 자체 시스템이 침해되지 않았고 하드웨어 지갑 기기도 안전하다고 밝혔다. 이번 사고는 개인키나 지갑 백업 정보가 아니라 배송 처리에 쓰인 주문 정보가 노출된 사례다.

다만 하드웨어 지갑 구매자의 이름과 주소, 연락처가 함께 유출되면 위험은 단순 스팸 수준을 넘어설 수 있다. 공격자는 트레저, 거래소, 은행을 사칭한 이메일과 전화, 허위 우편물로 이용자에게 접근할 수 있다.

하드웨어 지갑 보안과 고객정보 보호는 별개의 문제다. 기기와 개인키가 안전하더라도 배송·결제·고객지원 과정에서 협력사가 보관한 개인정보가 노출되면 이용자는 별도 위험에 놓인다.

트레저는 영향을 받은 고객에게 별도 이메일을 보냈고, 지갑 백업 문구를 웹사이트에 입력하거나 타인에게 공유하지 말라고 안내했다. 회사는 공식 블로그와 공식 채널의 안내를 대조하라고도 당부했다.

이번 사고는 물리 제품 기반 암호화폐 보관 서비스의 구조적 취약점을 드러낸다. 온라인 지갑 공격을 막기 위해 하드웨어 지갑을 쓰더라도, 제품을 구매하고 배송받는 과정에서 남는 개인정보는 별도 관리 대상이라는 점이 확인됐다.