작성자: 샤오빙

암호화폐 보안 분야에는 반직관적인 규칙이 하나 있다. 어떤 사람이 얼마나 많은 비트코인을 보유하고 있는지 아는 것이 때로는 그의 개인키를 아는 것보다 더 위험하다.

8월 16일, 하드웨어 지갑 제조사 SafePal은 보안 공지를 발표하고 주문 조회 플러그인의 권한 부여 결함으로 인해 약 39,798명의 고객 이름, 이메일, 전화번호, 배송지 주소 및 구매 기록이 무단 접근됐다고 확인했다. 영향을 받은 고객은 2025년 3월 2일부터 2026년 4월 11일까지 주문한 고객이다.

SafePal은 공지에서 개인키, 니모닉 문구, 지갑 비밀번호, 은행 카드 번호, 신분증 정보는 영향을 받지 않았다고 강조했다. 콜드 스토리지 아키텍처는 완전히 격리된 환경에서 작동하며 전자상거래 서버와 무관하다. 사용자의 지갑이나 자금이 직접 공격당했다는 증거는 없다.

회사는 동시에 이번 사건과 관련된 피싱 사이트 30개 이상을 발견해 차단했다고 밝혔다.

쇼핑 목록 하나가 비밀번호보다 더 위험한 이유

현재 공격자가 손에 쥐고 있는 것은 무엇인가. 하드웨어 콜드 월렛을 구매한 것으로 확인된 약 4만 명의 실명, 휴대전화 번호, 이메일, 집 주소다.

이 데이터의 가치는 일반 전자상거래 플랫폼의 주문 정보 유출보다 훨씬 높다. 콜드 월렛을 사는 사람은 암호화폐 자산을 보유하고 있다고 거의 확실하게 볼 수 있고, 그 규모도 상당할 가능성이 크다. 자산을 보관하기 위해 전용 하드웨어에 기꺼이 돈을 쓰는 사용자는 대개 수백 달러만 보유한 개인 투자자가 아니다.

공격자는 어떤 기기도 해킹할 필요가 없다. 그들이 할 수 있는 일은 다음과 같다.

SafePal 고객 지원을 사칭해 실제 주문 번호와 구매 날짜가 포함된 ‘펌웨어 업그레이드 안내’나 ‘기기 리콜 안내’를 보낸다. 이메일 안의 주문 정보가 실제이기 때문에 사용자는 이메일 전체가 진짜라고 더 쉽게 믿게 된다.

사용자의 집 주소로 실제 편지나 소포를 보내고 위조된 QR 코드나 ‘교체용 기기’를 동봉한다. SafePal은 공지에서 “SafePal 구매 기록을 언급하는 예상치 못한 연락이나 하드웨어 배송은 모두 의심스럽게 간주하라”고 별도로 당부했는데, 이는 이러한 공격이 이미 발생했거나 발생할 것으로 예상된다는 뜻이다.

유출된 주소, 전화번호, 이메일을 소셜미디어 계정 및 온체인 주소와 교차 대조해 더 정교한 사용자 프로필을 만든다. 특정 주소의 거주자가 대량의 암호화폐를 보유하고 있다는 사실이 확인되면 물리적 침입(이른바 ‘렌치 공격’)도 선택지가 된다.

SafePal 스스로도 FAQ에서 피싱 공격은 ‘전화, 이메일, 문자, 편지, 환불 제안, 펌웨어 업데이트 요청, 위조된 고객지원 커뮤니케이션’ 등 여러 형태로 나타날 수 있다고 인정했다. 이 목록의 길이 자체가 문제의 심각성을 말해준다.

3개월의 침묵

이번 사건에서 가장 따져 물어야 할 것은 공개 타임라인이다.

SafePal은 FAQ 페이지에서 5월에 이미 사용자로부터 피싱 이메일 신고를 받았지만 처음에는 이를 ‘고립된 사건’으로 간주했다고 인정했다. 7월이 되어서야 주문 시스템에 대한 전면 점검을 진행했고, 8월에야 근본 원인을 확인하고 공지를 발표했다.

최초 신고부터 공개까지 약 3개월이 걸렸다. 이 3개월 동안 공격자는 이미 유출된 데이터를 이용해 피싱 이메일을 보내고 있었고, SafePal도 피싱 사이트 30개 이상을 발견해 차단했다고 확인했다. 즉, 사용자는 자신도 모르는 사이에 수개월 동안 고정밀 사회공학 공격에 노출되어 있었다.

SafePal은 또 하나의 세부 사항을 공개했다. 데이터 삭제 루틴(data-purge routine)이 설정 오류로 작동을 멈춰 90일 후 삭제됐어야 할 과거 주문 정보가 시스템에 계속 남아 있게 됐다는 것이다. 이는 유출된 데이터 양이 정상적인 경우보다 더 클 수 있음을 의미한다. 개인정보 처리방침에 따라 이미 파기됐어야 할 데이터가 설정 버그 하나 때문에 살아남았고, 이후 유출된 것이다.

콜드 월렛의 보안 역설

이번 SafePal 사건은 하드웨어 지갑 업계의 구조적 모순을 드러냈다.

콜드 월렛의 모든 판매 포인트는 보안이다. 물리적 격리를 통해 개인키를 보호해 해커가 네트워크 공격으로 핵심 자산에 접근하지 못하게 한다. 이 약속은 SafePal이 실제로 지켰다. 이번에 유출된 것은 지갑 시스템이 아니라 전자상거래 시스템이다.

하지만 콜드 월렛은 전자상거래 채널을 통해 판매될 수밖에 없고, 전자상거래 채널은 물류 배송을 위해 사용자의 실제 신원 정보(이름, 주소, 전화번호)를 수집해야 한다. 이 정보가 한번 유출되면 ‘누가 대규모 암호화폐를 보관하고 있는지’를 정확히 표시해 버린다.

Ledger는 2020년에 거의 동일한 사건을 겪었다. 약 27만 명 고객의 이름, 이메일, 전화번호, 주소가 유출된 것이다. 유출 이후 피해자들은 다수의 고정밀 피싱 이메일과 SIM 카드 하이재킹 공격을 신고했다. 일부 사용자는 심지어 살해 위협을 받기도 했다. Ledger의 CEO는 나중에 공개 사과하고 데이터 보관 및 보안 관행에 실수가 있었다고 인정했다.

SafePal은 이제 같은 교훈이 반복되는 상황에 직면해 있다. 차이는 규모가 더 작다는 점(3.98만 명 vs 27만 명)뿐이고, 공격자들의 시나리오는 완전히 동일하다.

당신은 무엇을 해야 할까?

SafePal은 공지에서 표준 보안 수칙을 제시했다. 니모닉 문구를 공유하지 말고, 출처가 불분명한 링크를 클릭하지 말며, 이메일 속 링크를 클릭하는 대신 공식 웹사이트 주소를 직접 입력하라.

하지만 영향을 받은 사용자라면 더 실질적으로 해야 할 몇 가지가 있다.

가장 시급한 단계는 SafePal 명의로 발송된 ‘펌웨어 업그레이드’ 또는 ‘기기 리콜’ 알림을 받은 적이 있는지 확인하는 것이다. 의심스러운 페이지에 니모닉 문구를 이미 입력했다면 즉시 새 지갑을 만들고 자산을 옮겨라. SafePal은 공지에서 전화, 이메일 또는 어떤 채널로도 니모닉 문구를 요구하지 않는다고 분명히 밝혔다.

SafePal의 전용 확인 페이지에서 주문 번호로 자신이 영향 범위에 포함되는지 조회하고, 확인되면 개인정보 삭제를 신청할 수 있다. 앞으로 몇 달 동안 SafePal이나 콜드 월렛을 언급하는 실제 편지와 소포는 모두 의심스럽게 간주하라. SafePal은 실제 우편물을 절대 보내지 않는다고 명시적으로 밝혔다.

만약 배송지 주소가 암호화폐 자산을 보관하는 장소이기도 하다면 물리적 보안 조치를 진지하게 점검하라. 과민 반응처럼 들릴 수 있지만, Ledger 유출 사건 이후 실제로 이 데이터 때문에 신변 위협을 겪은 사용자가 있었다.

암호화폐 업계는 10년 동안 사용자에게 ‘개인키를 잘 보관하라’고 교육해 왔다. SafePal과 Ledger의 교훈은 공격자들이 이미 개인키를 우회했고, 그들이 노리는 것은 개인키를 가진 사람이라는 점을 보여준다. ‘누가 암호화폐를 보유하고 있는가’라는 정보가 유출되는 순간, 가장 견고한 콜드 스토리지도 보호를 제공할 수 없다.

보안 체인에서 가장 취약한 고리는 결코 칩이나 암호학이 아니라 사람이다.

2,782개 BTC가 Bitstamp에서 인출, 약 1억 7,700만 달러 가치

인기 기사