암호화폐 하드웨어 지갑 제조업체 키스톤이 고객 정보가 공격자에게 노출된 웹사이트 보안 침해 사고를 공개하면서 표적 사기와 물리적 공격에 대한 우려가 커지고 있다. 

Keystone 는 밝혔다 토요일, 주 초에 의심스러운 활동을 감지했으며 Shopify와 API 활동을 검토한 뒤 금요일에 권한이 없는 제3자가 고객의 배송 정보에 접근했다는 사실을 확인했다고 밝혔다. 여기에는 이름, 연락처, 배송 주소 및 구매한 상품 등 기타 주문 세부 정보가 포함됐다. 

회사는 "접근을 차단하고 취약점을 수정했으며 조사를 시작하고 영향을 받은 고객에게 이메일을 보내고 있다"고 밝혔다.

Keystone은 노출된 정보가 표적 피싱 공격에 사용될 수 있다고 경고했다. 그러나 보안 연구원 Taylor Monahan은 배송 주소가 유출되면 고객이 물리적 공격과 납치에 노출될 수 있다는 우려도 제기했다. 

블록체인 보안 기업 CertiK 는 2026년 상반기에 전 세계에서 확인된 렌치 공격 52건을 기록했으며, 이는 지난해 같은 기간의 39건보다 33% 증가한 수치다. 일반적으로 ‘렌치 공격’이라고 불리는 이러한 범죄는 물리적 위협이나 폭력을 사용해 암호화폐 보유자가 자산을 넘기도록 강요하는 행위다. 

키스톤은 "다시 한번, 영향을 받은 모든 분께 진심으로 사과드린다"고 밝혔다. 회사는 영향을 받은 고객 수를 공개하지 않았다. 

고객 데이터 삭제 약속을 두고 의문이 제기된 키스톤

이번 침해 사고로 키스톤의 과거 고객 정보 처리 방식에 대한 의문도 제기됐다. 

Keystone은 2023년 블로그 게시물에서 다른 하드웨어 지갑 제조업체들에 영향을 미친 보안 사고 이후 고객 데이터 보관 기간을 180일로 단축했다고 밝혔다. 

그러나 일부 고객은 기기를 구매한 지 2년이 넘었는데도 침해 사고 알림을 받았다고 말하면서, 키스톤이 어떤 정보를 보존했는지, 또 해당 알림이 약속대로 과거 주문 기록을 삭제하지 않았다는 의미인지에 대한 의문이 제기됐다. 

관련 기사: 이탈리아 정부 이메일 침해 사건 조사, Revolut 데이터 유출과 연관

“OG DEGEN”이라는 이름을 사용하는 X 사용자는 전화를 받았다고 말했다. 사기꾼은 자신들이 사기 사건을 수사하는 법 집행기관이라고 주장했다. 이 사용자는 통화 상대가 언급한 개인정보를 근거로, 상대가 2024년에 주문한 Keystone을 통해 자신의 정보를 입수했을 가능성이 있다고 의심했다. 

이 사용자는 X에 "내 개인 키가 노출됐다고 믿게 만든 뒤 이를 재설정한다는 명목의 피싱 링크를 보내려던 계획이었던 것 같다"고 썼다. 

또 다른 X 사용자 trintaetres도 2년 넘게 전에 기기를 구매했음에도 이메일 알림을 받았다고 말했다. 

코인텔레그래프는 180일보다 이전에 이뤄진 구매의 고객 정보가 키스톤이 과거 발표한 보존 정책에도 불구하고 어떻게 노출될 수 있었는지, 그리고 영향을 받은 고객이 몇 명인지 묻기 위해 키스톤에 연락했다. 회사는 기사 게재 시점까지 답변하지 않았다. 

매거진: AI 에이전트, ETH 글램스터댐 포크 구출에 힘 보태…‘내 비트코인을 훔쳐라’ 사이트 등장: 홀더스 다이제스트