트레저, 배송사 쉽몽크 해킹에 고객 1만3700명 정보 유출…피싱 위험 커졌다

하드웨어 암호화폐 지갑 제조사 트레저(Trezor)가 고객 1만3700명가량의 개인정보가 유출됐다고 밝혔다. 이번 유출은 트레저 자체 시스템이 아니라 배송·물류를 담당하는 협력사 쉽몽크(ShipMonk)가 해킹당하면서 벌어졌다. 트레저는 8월 10일(현지시각) 쉽몽크로부터 공격 사실을 통보받았다고 밝혔다. 유출된 정보에는 이름, 이메일, 전화번호, 배송주소 등이 포함됐다. 트레저는 자사 기기와 시스템은 안전하다고 강조했지만, 피해 고객을 노린 정교한 피싱 공격 가능성을 경고했다.

유출 규모와 대상 국가

트레저는 8월 13일(현지시각) X(트위터)와 블로그 공지를 통해 사고를 공개했다. 미국, 영국, 스웨덴, 콜롬비아, 브라질, 이탈리아, 포르투갈에서 5월 10일부터 8월 8일까지(현지시각) 주문한 고객이 영향을 받았다. 이 가운데 1만1742명은 이름, 이메일, 전화번호, 배송주소가 통째로 노출된 “완전 노출” 그룹이다. 나머지 1947명은 이름, 거주 도시, 이메일만 노출된 “부분 노출” 그룹으로 분류됐다.

트레저는 자사의 90일 데이터 보관 정책 덕분에 피해 범위가 제한됐다고 설명했다. 회사는 물류 협력사에도 동일한 90일 보관 정책을 적용하도록 협의해뒀다고 밝혔다. 다만 부분 노출 대상인 1947명 중 일부는 5월 10일 이전에 주문한 이력이 있어, 그보다 오래된 주문 정보까지 접근됐을 가능성이 있다고 덧붙였다. 트레저는 “저희 시스템은 침해되지 않았고 트레저 기기도 안전하지만, 피해 고객은 더 정교한 피싱 시도의 표적이 될 수 있다”고 밝혔다. 회사는 은행이나 암호화폐 거래소, 심지어 트레저를 사칭한 이메일·전화·우편에 주의하라고 당부했다.

배후엔 메타베이스 제로데이…ShinyHunters 개입 정황

쉽몽크는 사고를 공개적으로 인정하지 않았지만, 영향을 받은 고객들에게 개별 통지 이메일을 보냈다. 블리핑컴퓨터(BleepingComputer)가 확인한 이 이메일에서 쉽몽크는 “8월 6일(현지시각) 메타베이스(Metabase)로부터 공격자가 자사 소프트웨어의 취약점을 악용해 계정 및 고객 관련 데이터에 접근했다는 통보를 받았다”고 밝혔다. 메타베이스는 데이터 분석 플랫폼으로, 공격자가 관리자 권한을 탈취해 고객 인스턴스에 침투하는 방식의 SQL 인젝션 제로데이 취약점이 최근 패치된 바 있다.

악명 높은 갈취 조직 ShinyHunters는 메타베이스 공격의 배후를 자처했다. 이 조직은 수요일(현지시각) 메타베이스에서 탈취했다고 주장하는 데이터를 유출했다. 이번 메타베이스 제로데이 공격의 피해 목록에는 노트북 제조사 프레임워크(Framework)와 온라인 양식 제작 서비스 탤리(Tally)도 포함돼 있다. 쉽몽크 역시 ShinyHunters로부터 별도의 갈취 이메일을 받았다고 블리핑컴퓨터는 전했다. 쉽몽크가 정확히 몇 개 기업, 몇 명의 고객 정보가 유출됐는지는 아직 공개되지 않았다.

반복되는 암호화폐 업계 공급망 공격

이번 사고는 트레저에게 처음 있는 일이 아니다. 트레저는 2024년 1월에도 제3자 지원 티켓 포털이 뚫리는 유출을 겪었다. 당시 2021년 12월 이후 트레저 고객지원팀과 접촉한 6만6000명의 이름, 사용자명, 이메일이 노출됐고, 공격자들은 이 정보를 이용해 고객의 24단어 복구 시드를 노린 피싱 공격을 벌인 사실이 확인됐다.

토론토에 본사를 둔 콜드카드(Coldcard) 제조사 코인카이트(Coinkite Inc.)도 최근 해킹 피해를 겪은 것으로 알려졌다. 콜드카드 해킹 사례처럼, 하드웨어 지갑 자체가 아니라 그 주변 생태계를 노리는 공격이 늘고 있다는 지적이 나온다. 머큐리오(Mercuryo)의 애슈나 바겔라(Ashna Vaghela) 최고고객책임자는 “콜드카드 해킹의 여파가 아직 가시지 않은 가운데, 이번 사건은 공격자들이 지갑 자체가 아니라 그 주변 생태계를 노릴 때 신뢰가 얼마나 빨리 흔들릴 수 있는지를 보여준다”고 말했다.

보안업체 CertiK에 따르면 2026년 상반기 전 세계적으로 암호화폐 보유자를 겨냥한 물리적 공격이 약 52건 발생했다. 이는 전년 동기 대비 33% 증가한 수치다. 이름과 주소가 연결된 명단은 강도나 주거침입범에게 악용될 수 있다는 우려도 나온다. 블록체인 분석업체 TRM Labs 집계로는 2026년 상반기 해커들이 훔친 암호화폐 규모가 약 9억7200만달러로, 전년 동기 23억달러보다 줄었다. 다만 사건 건수는 207건으로 반기 기준 역대 최다치를 기록했다.

트레저의 대응책…“신원 비공개 배송” 도입 예고

트레저는 “트레저가 2013년 설립된 이후 고객의 전화번호와 배송주소가 노출된 것은 이번이 처음”이라며 “이 상황이 얼마나 심각한지, 고객들이 겪을 수 있는 위험이 얼마나 큰지 잘 알고 있으며 피해를 입은 분들께 깊이 사과한다”고 밝혔다. 회사는 쉽몽크와 직접 연락해 정확한 사건 타임라인과 유출 범위를 파악하고 있다고 설명했다.

회사가 현재 최우선으로 추진 중인 프로젝트는 “신원 비공개 배송(Anonymous Delivery)” 서비스다. 이 서비스를 이용하면 고객은 실제 이름이나 집 주소를 주문에 연결하지 않고도 결제를 완료할 수 있다. 별도의 체크아웃 절차에서 실명 대신 닉네임이나 라벨 ID를 사용하고, 제품은 집이 아닌 무인 보관함(락커)으로 배송된다. 배송 상자에는 브랜드 표시 없이 일반적인 발송인 라벨만 붙고, 배송업체는 보관함 개봉용 PIN 번호만 이메일이나 문자로 전달한다. 트레저는 이 서비스를 EU 지역에는 9월, 미국에는 연말까지 출시할 계획이라고 밝혔다.

한편 경쟁 지갑 서비스 케이크월렛(Cake Wallet)은 소셜미디어에서 트레저를 비꼬며 “자체 보관(셀프 커스터디)에게 또 힘든 하루”라고 언급했다. 이 업체는 구형 스마트폰에 케이크월렛을 설치해 쓰면 “주문도, 배송주소도, 연결된 고객 데이터도 없다”며 대안을 제시하기도 했다. 트레저 측은 “지갑 백업 정보를 웹사이트에 입력하거나 누구와도 공유하지 말라”고 재차 당부했다.