세이프팔 3만9798명 정보 유출, 삭제 안 된 옛 주문기록이 피해 범위를 키웠다

세이프팔(SafePal)이 8월16일(현지시각) 주문 정보 시스템에서 발생한 보안 결함으로 고객 3만9798명의 개인정보가 노출됐다고 공식 발표했다. 유출된 정보는 이름, 이메일, 배송지 주소, 전화번호, 구매 내역 등이다. 세이프팔은 시드문구, 프라이빗 키, 지갑 비밀번호, 결제카드 정보, 신분증 번호 등은 노출되지 않았다고 강조했다. 암호화폐 자금이나 지갑 접근 권한이 침해된 증거도 발견되지 않았다고 밝혔다. 이번 사고는 최근 콜드카드(Coldcard) 하드웨어 지갑 해킹으로 최소 1억2000만달러(약 1698억원, 1달러 1415원 기준) 상당의 비트코인이 도난된 사건에 이어 발생해, 하드웨어 지갑 업계 전반의 보안 경각심을 다시 자극하고 있다.

주문추적 플러그인 결함이 부른 유출

세이프팔은 고객 주문을 추적하는 플러그인에서 권한 인증 결함(authorization flaw)을 확인했다고 밝혔다. 이 결함 때문에 특정 조건에서 한 고객이 주문번호만 바꾸면 다른 고객의 주문 정보를 볼 수 있었다.

세이프팔은 2026년 5월 초 이 문제와 관련된 피싱 신고를 처음 접수했다고 설명했다. 당시에는 단일 사례로 판단해 대응했으나, 이후 이를 정식 보안 조사로 격상했다. 2026년 7월 들어 주문처리 시스템 전반에 대한 전면 재검토와 재구축 작업을 시작했고, 이 과정에서 플러그인 결함을 최종 확인했다. 세이프팔은 결함을 수정하고 추가 접근통제 조치를 도입했다고 밝혔다. 세이프팔은 자사 X(옛 트위터) 계정을 통해 “여러분의 세이프팔 지갑과 시드문구, 프라이빗 키는 안전하다”며 “일부 고객 정보에 대한 무단 접근으로 이어진 주문추적 플러그인 결함을 확인했으며, 추가 보안조치와 함께 문제를 해결했다”고 밝혔다.

데이터 보관 오류로 유출 범위가 넓어졌다

세이프팔은 유출 범위가 예상보다 넓어진 원인으로 별도의 데이터 관리 오류를 지목했다. 정기적으로 오래된 주문 데이터를 삭제하는 자동화 프로세스가 설정 오류로 2025년 9월부터 2026년 4월까지 제대로 작동하지 않았다는 것이다. 세이프팔은 이 오류가 무단 접근 자체를 유발한 것은 아니라고 선을 그었다. 다만 삭제됐어야 할 오래된 주문 기록이 계속 남아 있으면서, 피해 범위가 2025년 3월2일부터 2026년 4월11일 사이 주문 건까지로 확대됐다고 설명했다.

세이프팔은 이후 관련 주문처리 환경의 개인정보 보관 기간을 법적 요건에 따라 최대 90일로 단축했다고 밝혔다. 영향을 받은 고객의 개인정보는 활성 전자상거래 서버에서 삭제됐으며, 조사 지원을 위해 암호화된 오프라인 사본만 별도로 보관 중이라고 덧붙였다.

피싱 확산 우려…30여개 사이트 적발, 보상 여부는 미확정

세이프팔은 유출된 이름·주소·구매 내역이 결합되면 훨씬 정교한 피싱 시도에 활용될 수 있다고 우려했다. 실제로 회사는 이번 사고와 관련된 사기성 웹사이트와 피싱 링크 30여개를 이미 적발해 폐쇄했으며, 새로운 도메인도 계속 모니터링하고 있다고 밝혔다. 세이프팔은 지난 일요일인 8월16일(현지시각) 영향을 받은 고객들에게 개별적으로 이메일을 발송했다. 동시에 고객이 주문번호와 배송 국가를 입력해 자신의 정보가 유출됐는지 직접 확인할 수 있는 조회 도구도 새로 열었다.

세이프팔은 자사가 고객에게 시드문구나 프라이빗 키, 비밀번호를 요구하는 일은 절대 없다고 재차 강조했다. 주문 정보만 유출됐다는 이유로 자산을 옮길 필요는 없다고도 안내했다. 다만 의심스러운 사이트에 시드문구나 프라이빗 키를 이미 입력한 적이 있다면 해당 지갑은 이미 침해된 것으로 간주해 새 지갑을 만들고 남은 자산을 옮겨야 한다고 권고했다. 회사는 독립된 제3의 보안업체를 선정해 수정 조치를 검증하고 주문처리 시스템 전반을 다시 점검할 계획이라고 밝혔다. 해당 업체명은 아직 공개되지 않았다. 세이프팔은 물류·배송 협력사에도 사고 경위를 통보했으며, 지금까지 협력사 시스템까지 사고가 확산된 증거는 발견하지 못했다고 전했다.

세이프팔은 전담 지원 채널을 개설하고, 금전적 피해를 신고하는 고객을 위해 온체인 자산 추적 전문업체와도 접촉 중이라고 밝혔다. 다만 이런 조치가 법적 책임 인정이나 보상 약속을 의미하지는 않는다고 선을 그었다. 회사는 아직 공격자의 신원을 특정하지 못했고, 후속 피싱으로 인한 확정 피해 금액도 공개하지 않았다.

잇따르는 하드웨어 지갑 보안 사고, 업계 신뢰 시험대

세이프팔은 바이낸스 랩스(Binance Labs)의 투자를 받은 하드웨어 지갑 제조사다. 크립토브리핑(cryptobriefing.com)에 따르면 세이프팔은 2018년 창립 이후 지갑 자체가 해킹당한 사례는 없었다. 이번 사고에서도 노출된 것은 주문·배송 관련 개인정보에 그쳤고, 세이프팔의 대표 기기인 S1은 블루투스·와이파이·NFC·USB 연결 없이 작동하는 이른바 에어갭(air-gapped) 방식이어서 이번 유출로 지갑 기기 자체가 뚫린 것은 아니라는 게 회사 측 설명이다.

그러나 하드웨어 지갑 업계에서 개인정보 유출은 반복되는 문제다. 앞서 경쟁사 트레저(Trezor)도 배송 대행업체 시스템이 뚫리면서 고객 정보가 유출된 사고를 공개한 바 있다. 최근에는 콜드카드 지갑 이용자를 노린 해킹으로 최소 1억2000만달러(약 1698억원) 상당의 비트코인이 도난되는 사건도 발생했다. 업계에서는 이런 사고들이 특정 제조사만의 구조적 결함을 의미하지는 않지만, 어떤 암호화폐 보관 수단도 완전히 위험에서 자유롭지 않다는 점을 다시 보여준다는 평가가 나온다. 보유 자산과 사용하는 지갑을 한 곳에 몰아두지 말고 분산해야 한다는 조언에도 힘이 실리고 있다.