트레저는 목요일 배송 파트너 중 한 곳에서 사고가 발생해 1만 3,689명의 고객 개인정보가 유출되었다고 확인했습니다. 이름, 거주지 주소, 휴대전화 번호, 이메일 주소가 유출되었습니다.
암호화폐는 이동하지 않았습니다. 트레저는 자사 시스템과 기기, 고객 지갑 백업이 전혀 침해당하지 않았다고 밝혔습니다. 피해는 외부 업체에서 발생했습니다.
트레저 데이터 유출로 드러난 사실
쉽몽크는 트레저 주문을 보관 및 배송합니다. 8월 10일, 쉽몽크는 침입자가 고객 기록을 보관 중인 시스템에 접근했다고 트레저에 통보했습니다.
유출은 두 종류로 나뉩니다. 1만 1,742명의 구매자는 이름, 이메일, 전화번호, 전체 배송지 주소까지 모두 노출되었습니다. 나머지 1,947명은 이름, 도시, 이메일만 유출되었습니다.
누가 피해를 봤는지는 주문 시기로 결정됩니다. 이번 유출은 미국, 영국, 스웨덴, 콜롬비아, 브라질, 이탈리아, 포르투갈에서 올해 5월 10일부터 8월 8일까지 배송된 주문을 포함합니다.
구매 시점이 더 오래된 고객은 규정에 따라 피해를 받지 않았습니다. 트레저는 파트너에게 배송 후 90일이 지나면 주문 데이터를 삭제하거나 익명화하도록 요구합니다. 이전 주문은 이미 삭제된 상태였습니다.
확인 방법은 간단합니다. 피해 고객은 [email protected]로부터 이메일을 받았습니다. 이메일을 받지 않았다면 정보가 유출되지 않은 것입니다.
한 가지 뼈아픈 점이 있습니다. 쉽몽크는 보안 인증인 SOC 2 타입 II를 보유 중이었으나, 그럼에도 유출이 발생했습니다.
주소 유출이 이메일 유출보다 심각한 이유
이메일 단독으로는 사기꾼에게 큰 이득이 되지 않습니다. 하지만 이름, 거주지 주소, 전화번호가 함께 유출되면 한 개인이 특정 집에서 코인 구매자인 것이 드러납니다.
트레저는 피해 시나리오를 구체적으로 제시했습니다. 사기꾼이 가짜 이메일을 보내거나 전화를 하고, 허위 우편을 보내거나 은행, 거래소, 트레저를 사칭할 수 있습니다.
이와 유사한 패턴은 이미 존재합니다. 레저는 2020년 7월에 약 백만 명 고객의 이메일을 유출당했습니다. 이 중 9,500명은 전체 우편 주소까지 노출되었고, 가짜 복구 문구 편지가 몇 년 후 이들에게 실제 배송된 바 있습니다.
이제 규모를 비교해보겠습니다. 트레저의 유출에서는 1만 1,742명이 전체 주소가 노출되었으며, 이는 2020년 레저 피해자 9,500명보다 많습니다.
레저의 CEO 파스칼 고티에는 2020년에도 같은 우려에 대해 답변했으며, 그 논리는 지금도 유효합니다.
“유출된 데이터와 지갑의 자금 사이에는 어떤 연관도 만들 방법이 없습니다.” – 레저의 안내문 일부
공격자들은 이미 해당 브랜드를 주시하고 있었습니다. 최근 트레저 피싱 광고가 이번 사건 발표 며칠 전에 등장했습니다. 별개로, 가짜 지원 콜 센터 사기로 올해 보유자들로부터 수백만 달러가 탈취되었습니다.
외부 업체가 계속 약한 고리로 드러나고 있습니다. 레저의 결제 처리업체 유출로 올해 1월에도 고객 주문 데이터가 유출되었습니다.
트레저 보유자가 지금 해야 할 일
조언은 간단하며 효과적입니다. 급하게 보이는 모든 요청은 모두 의심해야 합니다. 이상하다고 느낀 점은 반드시 트레저 공식 채널에서 확인해야 합니다. 지갑 백업은 절대 웹사이트에 입력하지 마십시오.
“지갑 백업은 절대 웹사이트에 입력하거나 타인에게 공유하지 마십시오.” – 트레저 공식 블로그
두 가지 습관이 미래의 노출을 줄입니다. 실제 이름과 연결되지 않은 이메일로 주문하시고, 가능하면 코인으로 결제하시기 바랍니다.
트레저는 또한 락커 수령과 중립 포장 기반의 ‘익명 배송’ 옵션을 약속했습니다. 유럽 지역엔 9월까지, 미국엔 2026년 말까지 도입을 목표로 하고 있다고 밝혔습니다.
트레저는 이번이 2013년 이후 처음으로 고객의 전화번호와 배송지가 유출된 사고라고 밝혔습니다. 하드웨어는 여전히 안전합니다. 취약점은 기기가 아닌 배송 박스에 있었습니다.
