[시드니=뉴스핌] 권지언 특파원 = 인터넷과 분리해 보관해 가상자산 접근 키를 지키는 가장 안전한 방법으로 꼽히던 하드웨어 지갑, 이른바 '콜드월렛(cold wallet)'에서도 대규모 개인정보 유출이 발생했다. 정작 뚫린 건 지갑이 아니라 이용자의 신상 정보였다.

트레저(Trezor)는 13일(현지시간) 배송업체에서 발생한 데이터 유출로 고객 1만1742명의 이름과 주소, 전화번호, 이메일 주소가 노출됐다고 밝혔다. 추가로 1947명은 이름과 거주 도시, 이메일 주소가 해킹된 것으로 파악됐다.

유출 대상은 지난 5월10일부터 8월8일 사이 제품을 배송받은 고객으로, 피해국은 미국과 영국, 스웨덴, 콜롬비아, 브라질, 이탈리아, 포르투갈이다.

트레저는 "깊이 사과한다"며 피해 고객들이 피싱 공격 증가에 노출될 수 있다고 경고했다. 지갑 자체나 개인키가 아니라 개인정보가 노출된 만큼, 트레저를 사칭한 이메일·문자 등 피싱 시도에 대한 각별한 주의가 요구된다.

◆ "가장 안전한 보관법"의 약점은 배송 단계…2주새 두번째 사고

하드웨어 지갑은 개인키를 인터넷과 분리된 소형 장치에 저장해 온라인 해킹으로부터 자산을 지키는 방식으로, 가상자산 보유자가 토큰 접근 권한을 보호하는 상대적으로 안전한 방법으로 여겨져 왔다. 그러나 이번 사고는 지갑의 기술적 안전성과 별개로, 제품이 고객 손에 들어가기 전 '배송 단계'가 새로운 약점이 될 수 있음을 보여줬다.

이는 2주 만에 발생한 두 번째 콜드월렛 관련 보안 이슈이기도 하다.

지난달 30일에는 콜드카드(Coldcard) 지갑에서 소프트웨어 오류로 개인키가 충분히 안전하게 생성되지 않아 1억달러 이상이 도난당했다.

콜드카드 사고가 지갑 자체의 기술적 결함으로 개인키가 유출된 사례라면, 이번 트레저 사고는 지갑 보안이 아닌 유통 과정에서 신원 정보가 새어나간 사례다. 자산 접근권이 뚫린 것은 아니지만, 하드웨어 지갑 구매자라는 사실과 신원 정보가 연결될 수 있다는 점에서 물리적 위협으로 이어질 수 있다는 우려가 나온다.

디지털 자산 정보업체 TRM랩스는 콜드카드 사고에 대해 "자체 보관은 위험을 없애는 것이 아니라 위험을 다른 곳으로 옮긴다는 점을 다시 보여준다"고 평가했다.

◆ 가상자산 보유자 겨냥 납치 등 물리적 범죄도 급증

가상자산 보유자를 겨냥한 범죄는 온라인을 넘어 물리적 공격으로도 번지고 있다. 지난해 프랑스에서는 경쟁 하드웨어 지갑업체 레저(Ledger)의 공동창업자와 그의 아내가 납치됐다가 풀려난 바 있다.

체이널리시스에 따르면 올해 들어 현재까지 가상자산 투자자를 대상으로 발생한 폭력 사건 46건 가운데 절반 이상이 납치였고, 3분의 1 이상은 주거지 침입과 관련됐다. 신고되지 않은 사례를 감안하면 실제 규모는 더 클 것으로 추정된다. 지갑 자체가 아무리 안전해도 보유 사실이나 개인정보가 노출되면 물리적 위협으로부터 자유롭지 않다는 의미다.

트레저는 재발 방지책으로 구매 정보를 자택 주소나 실명과 연결하지 않는 '익명 배송' 옵션을 오는 9월까지 EU 전역에 도입할 계획이라고 밝혔다.

트레저는 파이낸셜타임스(FT)에 "이번 사건이 얼마나 심각하고 고객들에게 어떤 잠재적 위험을 초래하는지 충분히 이해하고 있다"면서도 "현재까지 이번 개인정보 노출로 인해 실제 사기나 해킹, 고객 안전을 위협하는 사건이 발생했다는 사실은 확인하지 못했다"고 밝혔다.

kwonjiun@newspim.com