미국의 암호화폐 개인퇴직계좌(IRA) 투자 플랫폼인 비트코인IRA(BitcoinIRA)와 아이트러스트캐피탈(iTrustCapital)에서 고객 데이터가 유출됐을 가능성이 있다는 주장이 제기됐다.

온체인 분석가 잭XBT(ZachXBT)는 올해 두 회사와 관련된 별도의 데이터 유출 정황을 확인했다며 사고 사실이 이용자에게 공개되지 않았을 가능성이 있다고 주장했다.

잭XBT가 언급한 유출 의심 정보에는 고객 프로필을 비롯해 암호화폐 포트폴리오 보유 현황, 은행 정보, 커스터디 기관 정보와 계정 인증 상태 등이 포함된 것으로 전해졌다.

이 같은 정보가 실제로 외부에 노출됐다면 공격자는 특정 이용자의 거래 플랫폼과 보유자산 규모를 파악한 뒤 맞춤형 피싱메일이나 가짜 고객센터 전화를 시도할 수 있다. 일반적인 무작위 피싱보다 피해자가 속을 가능성이 커질 수 있다는 의미다.

잭XBT는 지난 21일 두 회사에 관련 내용을 문의했지만 주장을 공개할 때까지 답변을 받지 못했다고 밝혔다. 다만 유출이 발생한 정확한 시점과 공격 방식, 영향을 받은 고객 수는 공개하지 않았다.

비트코인IRA와 아이트러스트캐피탈도 현재까지 데이터 유출 사실이나 조사 결과를 공식적으로 발표하지 않은 것으로 확인됐다.

따라서 현 단계에서는 잭XBT가 제기한 의혹으로 봐야 하며 실제 유출 여부는 두 회사의 조사와 공식 발표를 통해 확인돼야 한다.

고객 데이터의 유출 가능성과 암호화폐 자산 탈취는 구분할 필요가 있다. 사용자 프로필과 포트폴리오 정보가 노출됐더라도 회사 또는 외부 커스터디 업체가 보관하는 가상자산이 직접 유출됐다고 단정할 수는 없다.

현재까지 두 플랫폼의 자산 보관 지갑이나 커스터디 인프라가 침해됐다는 증거는 제시되지 않았다. 이용자 자산의 이동이나 회사 지갑에서 발생한 비정상적인 온체인 거래도 별도로 확인되지 않았다.

잭XBT는 앞서 비트코인IRA 고객을 겨냥한 사회공학 공격 사례를 조사한 바 있다. 해당 고객은 지난 6월 비트코인IRA를 사칭한 이메일을 받은 뒤 개인 하드웨어 지갑에 보관하던 비트코인과 이더리움 약 120만달러 상당을 탈취당한 것으로 알려졌다.

그러나 이 사례에서도 자산은 비트코인IRA의 커스터디 시스템이 아닌 피해자의 개인 하드웨어 지갑에서 유출됐다.

데이터베이스 유출이 공격에 활용됐을 가능성이 제기됐지만, 두 사건의 직접적인 연관성은 독립적으로 확인되지 않았다.

비트코인IRA와 아이트러스트캐피탈은 비트코인과 이더리움 등 디지털자산을 세제 혜택이 적용되는 미국 개인퇴직계좌를 통해 투자할 수 있도록 지원하는 플랫폼이다. 고객의 금융·퇴직계좌 정보가 처리되는 서비스인 만큼 일반 암호화폐 거래정보보다 민감도가 높다.

두 플랫폼 이용자는 회사의 공식 발표를 확인하는 한편 비밀번호를 다른 서비스와 동일하게 사용하고 있다면 변경하고, 다중인증과 출금 승인 설정을 점검할 필요가 있다.

고객센터라고 주장하는 상대가 보유자산이나 계좌정보를 정확히 알고 있더라도 복구문구·개인키·인증번호를 제공해서는 안 된다. 이메일이나 문자에 포함된 링크 대신 주소를 직접 입력해 공식 사이트에 접속하는 것이 안전하다.

이번 의혹의 핵심은 실제 침해 여부와 피해 범위, 유출된 데이터 항목, 회사가 사고를 인지한 시점이다.

두 회사의 공식 조사 결과가 나오기 전까지 데이터 유출과 자산 피해를 확정적으로 연결하는 해석에는 주의가 필요하다.