글: Nicky, Foresight News
10월 28일, DelCrxpto와 슬로우미스트(SlowMist) 최고정보보안책임자(CISO) 23pds에 따르면 Coinbase에서 데이터 유출이 발생해 해커가 7만 명 이상 사용자의 연락처 정보를 획득했으나, 비밀번호나 자금이 탈취됐는지는 아직 확인되지 않았다.
같은 날 Coinbase는 반박에 나서 「데이터 유출은 발생하지 않았다」고 밝혔다. 회사 측 설명에 따르면 분석 서비스 제공업체 Amplitude가 보안 사고를 겪었고, 이로 인해 일부 Coinbase 고객의 연락처 데이터와 다른 Amplitude 고객의 데이터가 영향을 받았다. 팀은 Coinbase 시스템에 대한 무단 접근 증거를 발견하지 못했고 고객 자금도 영향을 받지 않았으며, 회사는 법적 의무에 따라 영향을 받은 고객과 규제 기관에 통지할 예정이다.
기사 작성 시점까지 Amplitude는 이번 사건에 대해 아직 응답하지 않았다.
Amplitude는 어떤 회사인가?
Amplitude는 디지털 제품 분석 플랫폼을 제공하는 미국 상장사로, 샌프란시스코에 본사를 두고 있으며 티커는 Nasdaq: AMPL이다. 기업이 웹과 앱에서 사용자 행동을 분석하도록 돕는 사업을 하며, 실시간 인사이트, 세션 리플레이, A/B 테스트, 데이터 액티베이션 등의 기능을 SaaS 구독 모델로 제공한다.
회사의 기원은 2011년 Spenser Skates와 Curtis Liu가 창업한 Sonalight로, 처음에는 음성을 문자로 변환하는 앱을 만들었고 2012년 겨울 Y Combinator에 입주했다. 효과적인 사용자 행동 분석 도구가 없었던 두 창업자는 자체적으로 내부 분석 시스템을 구축했고, 이후 2014년 제품 분석으로 공식 전환해 Amplitude라는 브랜드로 출시했다.
세 번째 공동 창업자인 Jeffrey Wang은 같은 해 합류했으며, 이전 Palantir와 Sumo Logic에서의 경력은 회사가 대규모 데이터 처리 역량을 구축하는 데 도움이 되었다. Skates는 현재 CEO로, MIT 생물공학 학사 학위를 보유하고 있으며 MIT Battlecode 프로그래밍 대회에서 두 번 우승했다.
Amplitude는 2021년 9월 나스닥에 직접 상장했으며, 2025 회계연도 매출은 약 3억 4300만 달러, 직원은 약 750~800명이고, 고객은 스타트업부터 포춘 100대 기업까지 걸쳐 있다. 주목할 점은 AMPL 주가가 6월 하순 6.6달러에서 상승하기 시작해 10월 23일 17.72달러로 연중 최고가를 기록했다는 것이다.
이번 사건과 관련해 10월 28일 기준 공개 정보에서는 Amplitude의 공식 성명이나 상태 페이지 공지가 확인되지 않았다. 이전에도 플랫폼 자체의 대규모 데이터 유출 공개 기록은 없었다. 2026년 9월 SpotAngels 사건에서는 제3자가 탈취한 자격 증명을 이용해 Amplitude에 저장된 일부 데이터에 접근했지만, SpotAngels는 Amplitude 플랫폼이 뚫린 것이 아니라고 명확히 해명했다.
Amplitude는 금융 및 암호화폐 분야에서 구체적인 고객 사례를 보유하고 있다. Ramp Network는 암호화폐 입출금(온·오프램프) 플랫폼으로, Amplitude의 분석, 실험, 세션 리플레이 기능을 깊이 활용하지만 주로 제품 분석과 사용자 여정 인사이트에 사용할 뿐 핵심 자금 시스템에는 쓰지 않는다. Xapo Bank는 비트코인 은행 겸 수탁 기관으로, Amplitude Analytics와 Feature Experimentation을 활용해 계좌 개설 절차를 최적화하며 역시 핵심 수탁 및 개인키 시스템과는 무관하다.
다른 금융 고객으로는 미국 핀테크 기업 Dave, Salt Bank, 그리고 일부 외환 및 파생상품 브로커가 있다. 이런 고객에게 리스크는 주로 행동 분석 데이터와 일부 연락처 정보에 국한되며 거래, 잔액, 개인키와는 무관하다. 유출 이후 주요 위협은 피싱, 사회공학, SIM 스와핑이며 직접적인 코인 탈취가 아니다.
Coinbase는 이번 사건이 다른 Amplitude 고객의 데이터에도 영향을 미쳤다고 밝혔지만, 현재까지 다른 구체적 기업을 공개적으로 지목하지 않았고 Ramp Network, Xapo 등도 관련 성명을 내지 않았다. 영향을 받은 당사자들은 사용자에게 비공개로 통지하기로 했거나 아직 영향 범위를 평가 중일 수 있다.
Coinbase에는 이전에 더 심각한 보안 사고가 있었다
Coinbase가 데이터와 계정 보안 문제에 직면한 것이 이번이 처음은 아니다.
가장 심각했던 사고는 2025년에 발생했다. 공식 발표에 따르면 범죄자들이 해외 고객 상담원에게 뇌물을 주고 고객 지원 시스템에서 데이터를 복제했으며, 약 69,461명의 사용자가 관련됐다. 유출된 내용에는 이름, 주소, 전화번호, 이메일, 사회보장번호 뒤 4자리, 마스킹된 은행 정보, 정부 신분증 사진, 계정 잔액 스냅샷, 거래 내역이 포함됐으나 비밀번호와 개인키는 포함되지 않았다. 공격자들은 주로 이 정보를 이용해 Coinbase 직원을 사칭하며 사용자가 스스로 암호화폐를 이체하도록 유도했다.
Coinbase는 2000만 달러의 몸값 지불을 거부하고 대신 같은 금액의 현상금을 설정해 체포와 유죄 확정에 활용했으며, 동시에 관련 인력을 해고하고 외주 고객 상담 업체와의 협력을 중단했고, 이번 사건으로 이체를 유도당한 개인 투자자들에게 자발적으로 보상했다. 회사는 2025년 2분기 실적 보고서에서 고객 보상과 직접 법적 비용을 포함해 약 3억 700만 달러의 관련 비용을 확인했다.
더 이른 사고는 2021년 3월부터 5월까지 발생했다. 공격자들은 피싱으로 이메일, 비밀번호, 전화번호를 획득하고 Coinbase의 SMS 계정 복구 절차 취약점을 악용해 2단계 인증을 우회했으며, 최소 6000개 계정의 자금이 이체됐다. Coinbase는 이후 취약점을 수정하고 사건 발생 당시 가치를 기준으로 도난 자금을 전액 보상했다.
두 사건의 공통점은 직접적 손실은 결국 플랫폼이 보상했다는 것이지만, 데이터가 한 번 유출되면 이후 피싱과 사회공학에 악용될 리스크가 장기적으로 존재한다는 점이다.
10월 28일 바이낸스 창업자 자오창펑(CZ)은 X 플랫폼에 글을 올려 이날 하루에만 4건의 데이터 유출 사건이 보도됐다며, Coinbase의 제3자 서비스 제공업체 Amplitude 외에도 한국 암호화폐 거래소 빗썸(Bithumb), 그리고 한국 전통 금융기관인 미래에셋과 대신증권이 관련됐다고 밝혔다.
CZ는 거래 플랫폼에서 유출된 이름, 이메일, 전화번호, 주소, 신분 증명서, 거래 기록 등의 정보가 피싱, SIM 카드 탈취, 사회공학 공격에 악용될 수 있다고 지적했다. 그의 조언은 계정 격리와 인증 방식에 집중됐다. 거래 플랫폼마다 별도의 이메일과 강력한 비밀번호를 설정하고, 하드웨어 보안 키나 패스키(Passkey), 인증 앱을 우선 사용하며 SMS 2단계 인증에 의존하지 말고, 출금 주소 화이트리스트와 피싱 방지 코드를 활성화하라는 것이다. 또한 정기적으로 계정 로그인 세션과 API 키 권한을 점검하고 고객 상담원을 사칭한 사기에 주의해야 한다.
그는 유출된 주소와 자산 보유 정보가 현실에서의 협박이나 강도 위험을 초래할 수 있다며, 사용자는 개인 자산 상황을 공개하지 말아야 한다고 덧붙였다.
또한 여러 기관의 관찰에 따르면 AI의 빠른 발전은 최근 보안 사고 빈발과 밀접한 관련이 있으며, 그 주요 역할은 완전히 새로운 공격 유형을 만드는 것이 아니라 공격 진입 장벽을 크게 낮추고 기존 수법의 규모화를 가속하는 것이다.
하버드 케네디스쿨과 Bruce Schneier의 공동 연구에 따르면 대형 모델이 완전히 자동화한 맞춤형 스피어 피싱의 클릭률은 약 54%로 인간 전문가와 맞먹으며, 일반 피싱의 약 12%를 크게 웃돌고 대규모 캠페인의 수익을 최대 약 50배까지 끌어올릴 수 있다. 마이크로소프트의 보고서도 비슷한 클릭률 데이터를 제시했다. 딥페이크 음성과 영상은 이러한 리스크를 더욱 증폭시킨다.
취약점 악용 속도도 빨라지고 있다. 마이크로소프트 보고서는 취약점이 공개된 후 무기화되기까지의 중위 시간이 흔히 24시간 미만이라고 밝혔다. CrowdStrike 2026 글로벌 위협 보고서에 따르면 2025년 AI를 활용한 공격자 활동이 89% 증가했고, 사이버 범죄의 「돌파 시간」은 초기 접근에서 측면 이동까지 평균 29분으로 줄었다. IBM 《데이터 유출 비용 보고서 2026》은 악의적 유출의 약 4분의 1이 AI와 관련돼 있으며 평균 비용도 더 높다고 지적했다.
Bruce Schneier는 AI의 이중 용도를 강조한다. AI는 피싱을 효율적으로 자동화할 수 있는 동시에 높은 정확도로 피싱 의도를 식별하는 데에도 쓰일 수 있다. 그는 단기적으로는 방어자가 일부 측면에서 더 많은 이익을 얻을 수 있다고 보지만, 이것이 지속적인 군비 경쟁이라고 말한다. CrowdStrike, 마이크로소프트, IBM 등 기관의 판단도 일치한다. AI는 사회공학, 자격 증명 탈취, 취약점 악용 등 기존 전술을 최적화하고 있을 뿐 완전히 새로운 전선을 여는 것은 아니지만, 공격 속도와 규모의 향상이 방어 창구를 현저히 압축하고 있다는 것이다.
암호화폐 업계의 경우 이러한 추세는 Coinbase 관련 사건들과 매우 잘 맞아떨어진다. 2021년의 SMS 취약점은 피싱으로 자격 증명을 획득하는 데 의존했고, 2025년의 내부자 뇌물 사건 핵심은 사회공학으로 이체를 유도하는 것이었으며, 이번 Amplitude 사건에서 노출된 이메일과 전화번호는 바로 피싱과 사회공학의 원료다. AI는 이러한 공격을 더 개인화되고 다국어화하며 식별하기 어렵게 만드는 동시에 비용을 낮추고 표적 범위를 넓힌다. 공급망과 제3자 리스크 역시 AI가 가속한 정찰과 악용으로 인해 더욱 확대되고 있다.
