이스라엘 암호화폐 거래소·중개업체 비츠오브골드(Bits of Gold)에서 대규모 고객 개인정보가 유출됐을 가능성이 제기됐다.

크립토슬레이트와 이스라엘 현지 언론 등에 따르면 비츠오브골드는 최근 회사가 사용하는 외부 데이터 분석 시스템에서 허가받지 않은 접근을 확인하고 사고 범위와 피해 규모를 조사하고 있다.

영향을 받을 가능성이 있는 고객은 약 20만 명으로 알려졌으며, 일부 보도에서는 잠재적인 피해 규모가 최대 25만 명에 이를 수 있다고 전했다.

다만 정확한 유출 인원과 고객별 노출 정보는 아직 최종 확정되지 않았다. 크립토슬레이트 보도

유출 가능성이 제기된 정보에는 고객의 이름과 이스라엘 신분증 번호, 전화번호, 이메일 주소 및 인터넷프로토콜(IP) 주소가 포함됐다.

일부 고객의 은행계좌 정보와 공개 암호화폐 지갑 주소도 노출됐을 가능성이 있는 것으로 전해졌다.

공개 지갑 주소만으로 암호화폐를 직접 인출할 수는 없다. 그러나 이름과 연락처, 은행계좌 및 지갑 주소가 함께 노출되면 공격자가 고객의 자산 보유 여부와 거래 내역을 추적해 정교한 피싱이나 사칭 공격에 활용할 수 있다.

특히 거래소나 금융기관 직원을 사칭해 비밀번호, 인증번호, 지갑 복구문구 또는 송금을 요구하는 방식의 2차 공격이 발생할 가능성이 있다.

비츠오브골드는 고객 계정 비밀번호와 신분증 이미지, 암호화폐 개인키는 이번 사고의 영향을 받지 않았다고 밝혔다.

신용카드 전체 번호와 카드 보안코드(CVV)도 유출 대상에 포함되지 않은 것으로 알려졌다.

회사는 고객이 맡긴 현금과 암호화폐 자산에는 피해가 없으며 거래·보관 시스템도 정상적으로 운영되고 있다고 설명했다.

하지만 이는 현재까지 회사가 파악한 결과다. 외부 보안업체의 조사와 규제기관의 확인이 마무리될 때까지는 사고 범위가 달라질 가능성이 있다.

이번 사고는 비츠오브골드의 핵심 거래 시스템이 아니라 외부 데이터 분석을 지원하는 시스템에서 발생한 것으로 파악됐다.

현지 보도에서는 여러 기업이 사용하는 분석 플랫폼 메타베이스(Metabase)와 관련된 광범위한 보안 사고의 일부일 가능성이 제기됐다. 다만 구체적인 침입 경로와 악용된 취약점은 조사가 진행 중이어서 확정적으로 단정하기 어렵다.

비츠오브골드는 문제가 발생한 시스템의 접근을 차단하고 데이터 소스와의 연결을 해제한 것으로 전해졌다. 외부 사고대응 전문업체를 투입하고 이스라엘 관련 규제기관에도 사고 사실을 통보했다.

사고 여파로 이스라엘 대형 에너지·유통기업 파즈(Paz)는 자사 옐로우(Yellow) 편의점 앱에서 제공하던 비트코인 구매 서비스를 일시 중단했다.

파즈와 비츠오브골드는 옐로우 앱 이용자가 적립 포인트 등을 활용해 비트코인을 구매할 수 있도록 협력해 왔다.

파즈는 사고 조사가 완료될 때까지 관련 기능을 중단하기로 했다. 다만 옐로우 앱과 비츠오브골드 시스템 사이에는 고객 정보를 직접 교환하는 연결 구조가 없어 옐로우 이용자의 개인정보가 유출됐을 우려는 없다고 밝혔다.

양사의 협력 계약은 유지되며 비츠오브골드의 다른 서비스도 정상적으로 운영되고 있다. 이스라엘 CTech 보도

개인정보 유출 가능성이 있는 고객은 비츠오브골드와 은행, 정부기관을 사칭한 이메일이나 문자메시지에 주의해야 한다.

거래소 계정과 연결된 이메일 비밀번호를 변경하고, 동일한 비밀번호를 다른 서비스에서 사용했다면 함께 교체하는 것이 안전하다. 로그인 알림과 다중인증도 활성화할 필요가 있다.

특히 고객센터나 보안 담당자를 사칭해 암호화폐 개인키, 지갑 복구문구, 일회용 인증번호를 요구할 경우 응하지 않아야 한다.

비츠오브골드는 개인정보 유출 범위와 악용 여부에 대한 조사를 이어가고 있다. 최종 피해 규모는 외부 보안조사와 고객별 통지가 완료된 이후 구체화될 전망이다.