레볼루트는 사기범이 플랫폼을 속여 고객 데이터—여권, 신원 인증 셀카, 비트코인 거래 기록 등—를 건네받은 사실을 확인했습니다. 이 정보는 레볼루트 자체 안내에 따르면 보호되어야 하는 내용입니다.
요청은 실제 정부 기관 이메일 도메인에서 왔으며 유효한 자격 증명을 가지고 있었습니다. 레볼루트는 진짜라고 믿고 데이터를 제공했습니다.
레볼루트가 밝힌 사건 경위
레볼루트 대변인은 비인크립토(BeInCrypto)에 문제가 확인되자마자 발신자를 차단했다고 밝혔습니다.
“레볼루트는 최근 외부인이 실제 정부 기관 도메인 이메일을 활용해 허위 정보 요청을 제출하는 정교한 가장 공격을 식별했습니다… 레볼루트의 시스템과 고객 자금에는 영향이 없습니다.”
회사 측은 해당 기관과 경찰, 데이터 보호 및 금융 규제 당국에 통보했다고 밝혔습니다. 또한 영향을 받은 소수의 고객에게 직접 연락했다고 전했습니다.
레볼루트 계정은 안전한가요?
레볼루트는 계정이 계속 안전하다고 말합니다. 실제로 비밀번호, 로그인 정보, 생체인식 데이터는 노출되지 않았다고 비인크립토(BeInCrypto)에 전했습니다. 자금도 이동하지 않았습니다.
고객에게 발송된 안내는 다르게 표현합니다. 해당 안내에 따르면 신원 인증 셀카는 유출되었지만, 생물학적 얼굴 템플릿—즉, 사진에서 시스템이 생성하는 얼굴 도식—만 제외됩니다. 사진 자체는 유출된 대상에 포함됩니다.
안내에는 여권, 운전면허증, 자택 주소, 은행 명세서, 비트코인 입출금 전체 기록도 포함되어 있다고 명시되어 있습니다.
레볼루트는 해당 정부 기관 도메인을 공개하지 않았습니다. 이는 아직 경찰 수사가 진행 중이기 때문입니다. 따라서 외부에서는 실제로 정부 메일함이 탈취된 것인지, 아니면 내부 직원이 발송한 것인지 알 수 없습니다.
블록체인 조사관인 잭엑스비티(ZachXBT)는 암호화폐 도난 추적 전문가로, 이번 유출이 소수 사용자를 대상으로 했으며 자산가를 겨냥한 것으로 보인다고 지적했습니다.
유출된 고객 명단은 피싱 위험에 노출될 수 있습니다. 유출된 자택 주소는 암호화폐 보유자에 대한 물리적 공격으로 이어진 사례도 있습니다.
레볼루트는 이번을 정교한 공격으로 설명했지만, 실제로는 정부 공식 이메일 시스템을 통한 허위 요청이었고 레볼루트는 이를 진짜로 믿고 데이터를 제공했습니다.
