Keystone, 웹사이트 침해로 하드웨어 월렛 구매자 주소 유출

암호화폐 하드웨어 월렛 제조업체 Keystone이 고객 정보를 공격자에게 노출시킨 웹사이트 보안 침해 사고를 공개하여, 표적 스캠 및 물리적 공격에 대한 우려를 낳고 있습니다. 

Keystone은 토요일에 이번 주 초 의심스러운 활동을 감지했으며, Shopify와의 API 활동을 검토한 결과 금요일에 승인되지 않은 제3자가 고객 배송 정보에 접근한 사실을 확인했다고 밝혔습니다. 여기에는 이름, 연락처, 배송 주소 및 구매 품목과 같은 기타 주문 세부 정보가 포함되었습니다. 

“우리는 접근을 차단하고, 취약점을 수정했으며, 조사를 시작하고 영향을 받은 고객들에게 이메일을 보내고 있습니다”라고 회사는 전했습니다.

Keystone은 노출된 정보가 표적 피싱 공격에 사용될 수 있다고 경고했습니다. 하지만 보안 연구원 Taylor Monahan은 배송 주소 유출이 고객을 물리적 공격과 납치에 노출시킬 수 있다는 우려도 제기했습니다. 

블록체인 보안 기업 CertiK은 2026년 상반기에 전 세계적으로 52건의 검증된 렌치 공격(wrench attacks)을 기록했으며, 이는 지난해 같은 기간의 39건에서 33% 증가한 수치입니다. 흔히 “렌치 공격”이라고 불리는 이러한 범죄는 물리적 위협이나 폭력을 사용하여 암호화폐 보유자가 자산을 포기하도록 강요하는 행위를 포함합니다. 

“다시 한번, 피해를 입은 모든 분들께 진심으로 사과드립니다”라고 Keystone은 말했습니다. 회사는 얼마나 많은 고객이 영향을 받았는지 공개하지 않았습니다. 

고객 데이터 삭제 약속에 대해 의문이 제기된 Keystone

이번 침해 사고는 Keystone의 이전 고객 정보 처리에 대한 의문도 불러일으켰습니다. 

2023년 블로그 게시물에서 Keystone은 다른 하드웨어 월렛 제조업체에 영향을 미친 보안 사고 이후 고객 데이터 보유 기간을 180일로 단축했다고 밝혔습니다. 

그러나 일부 고객은 2년 이전에 기기를 구매했음에도 불구하고 침해 통지를 받았다고 말하며, Keystone이 어떤 정보를 보유하고 있었는지, 그리고 이 통지가 약속대로 이전 주문 기록이 삭제되지 않았음을 나타내는 것인지에 대한 의문을 제기했습니다. 

관련 기사: 이탈리아, Revolut 데이터 유출과 관련된 정부 이메일 침해 조사

“OG DEGEN”이라는 이름의 한 X 사용자는 사기 수사 중인 법 집행 기관이라고 주장하는 사기꾼으로부터 전화를 받았다고 말했습니다. 이 사용자는 발신자가 언급한 개인 정보를 토대로, 그가 2024년에 주문한 Keystone 정보를 통해 자신의 정보를 얻었을 것으로 의심했습니다. 

“그들의 계획은 내 개인 키가 노출되었다고 믿게 만든 다음, 그것을 재설정한다는 명목으로 피싱 링크를 보내는 것이었던 것 같습니다”라고 그들은 X에 적었습니다. 

또 다른 X 사용자인 trintaetres 역시 기기를 구매한 지 2년이 넘었음에도 불구하고 이메일 통지를 받았다고 말했습니다. 

Cointelegraph는 이전에 발표한 데이터 보유 정책에도 불구하고 어떻게 180일 이전에 구매한 고객 정보가 노출될 수 있었는지, 그리고 얼마나 많은 고객이 영향을 받았는지 묻기 위해 Keystone에 연락했습니다. 회사는 보도 시점까지 응답하지 않았습니다. 

매거진: AI 에이전트가 ETH의 Glamsterdam 포크 구조를 돕다, ‘Steal My Bitcoin’ 사이트: Hodler’s Digest