이스라엘 최대 규제준수 거래소 비츠오브골드, 외부 시스템 해킹으로 20만여 명 정보 유출

이스라엘 최대 규제 준수 코인 거래소 비츠오브골드(Bits of Gold)가 해킹으로 고객 개인정보가 유출됐다고 일요일(현지시각) 공지했다. 사고 자체는 공지 며칠 전 발생한 것으로 파악됐다. 유출 가능성이 있는 정보에는 이름, 신분증 번호, 이메일, 전화번호, IP 주소, 은행 계좌 정보, 공개 암호화폐 지갑 주소가 포함됐다. 회사는 고객의 자금과 암호화폐 자산, 계정 비밀번호, 신분증 사본은 이번 사고와 무관하다고 강조했다. 이번 유출은 비츠오브골드가 데이터 분석 용도로 쓰던 외부 지원 시스템이 침해당하면서 발생했으며, 전 세계 수백 개 기업이 함께 영향을 받은 대규모 사이버 사고의 일부로 파악됐다. 비츠오브골드는 이스라엘 내 20만 명이 넘는 고객을 두고 있어, 이번 사고가 사실상 전체 이용자에게 영향을 미칠 수 있다는 우려가 나온다.

유출됐을 수 있는 정보, 안전한 정보

비츠오브골드는 고객들에게 보낸 안내문에서 “검토 결과 이름, 연락처 및 신원 확인 정보(신분증 번호, 이메일, 전화번호 등), IP 주소, 은행 계좌 정보, 공개 암호화폐 지갑 주소에 접근이 있었을 가능성이 있다”고 밝혔다. 다만 현재까지 이 정보가 실제로 악용됐다는 징후는 확인되지 않았다고 덧붙였다.

회사는 동시에 “고객의 디지털 자산과 자금은 안전하며 이번 사고와 무관하다”고 강조했다. 비밀번호나 신용카드 전체 정보, CVV 코드는 원래 보유하지 않아 유출 대상이 될 수 없었고, 계정 접속 비밀번호와 신분증 스캔 사본도 노출되지 않았다고 설명했다. 서비스는 평소와 다름없이 정상 제공되고 있다는 점도 함께 알렸다.

이스라엘 직접 타깃은 아니었다…공급망식 해킹의 일부

비츠오브골드 측은 이번 사고가 “데이터 분석용 지원 시스템에 대한 무단 접근”에서 시작됐다고 밝혔다. 접근을 인지한 즉시 시스템을 정보원(information sources)에서 차단하고 연결을 끊었으며, 사이버 사고 조사·대응을 전문으로 하는 업체와 함께 보안팀이 전면 검토에 들어갔다고 설명했다. 관계 당국에도 관련 사실을 통보했다고 밝혔다.

칼칼리스트테크(calcalistech.com)에 따르면 이번 침해는 비츠오브골드가 이용하는 한 소프트웨어 업체에서 발생한 더 큰 규모의 사이버 사고의 일부였다. 전 세계 수백 개 기업이 함께 영향을 받은 것으로 추정되며, 현재까지 추가로 피해가 확인된 이스라엘 기업은 없는 것으로 알려졌다. 이에 따라 비츠오브골드가 이번 공격의 직접적인 표적은 아니었을 것이라는 평가가 나온다.

규제 준수 대표주자였던 만큼 파장 커

비츠오브골드는 2022년 9월 이스라엘 자본시장청(Capital Market Authority)으로부터 현지 최초로 가상자산서비스제공자(VASP) 라이선스를 획득한 회사다. 셰켈·달러 기반 거래와 장외거래(OTC), 기업용 API 서비스를 제공하며 최고경영자 겸 공동창업자는 유발 루아흐(Youval Rouach)다.

올해 4월에는 이스라엘 셰켈에 1대1로 연동되는 스테이블코인 BILS 발행 승인을 받았다. 이 스테이블코인은 솔라나(Solana), 파이어블록스(Fireblocks)와 협력해 개발됐고 감사는 EY가 담당했다. 규제 준수와 보안을 앞세워 브랜드를 쌓아온 회사인 만큼, 이번 유출이 그동안 쌓은 신뢰에 흠집을 낼 수 있다는 지적이 나온다. 2단계 인증과 콜드스토리지 같은 보안 기능을 강조해온 회사였지만, 이번에 뚫린 것은 자산이 아닌 고객 개인정보가 저장된 시스템이었다는 점도 눈에 띈다.

반복되는 크립토 업계 개인정보 유출…2차 피해 우려

크립토브리핑(cryptobriefing.com)은 2020년 하드웨어 지갑 제조사 레저(Ledger)의 사례를 함께 언급했다. 당시 유출로 고객 이름, 이메일 주소, 실제 거주지 주소가 노출됐고, 이는 표적 피싱 공격과 물리적 위협으로까지 이어졌다. 앞서 하드웨어 지갑 업체 트레저(Trezor) 역시 배송 대행업체 시스템이 침해되며 고객 정보 일부가 유출된 사례가 있었다.

비츠오브골드도 고객들에게 유사한 위험을 경고했다. 회사는 “신원 확인 정보를 악용해 제3자가 공식 기관을 사칭해 접근할 수 있다”며 의심스러운 링크 클릭, 개인정보나 인증코드 제공, 이에 응한 자금·암호화폐 이전을 하지 말라고 당부했다. 또한 “다른 금융기관과 마찬가지로 비밀번호나 인증코드, 프라이빗 키를 요구하거나 다른 지갑으로 자금 이전을 요청하는 일은 절대 없다”고 못박았다. 고객확인(KYC) 규정상 크립토 브로커가 보유한 신원정보가 유출될 경우 피싱과 심스와핑(SIM-swap) 같은 정교한 사회공학적 공격의 재료가 될 수 있다는 우려가 업계에서 반복적으로 제기되고 있다.