하드웨어 지갑 제조사가 약 14,000명의 고객과 연결된 집 주소가 노출되었음을 확인하면서, 암호화폐 기업이 개인 데이터를 얼마나 수집하고 얼마나 잘 보호하는지에 대한 새로운 의문이 제기되고 있다. 디지털 자산을 보관하는 가장 안전한 방법으로 특별히 마케팅되는 기기인 하드웨어 지갑 소유자에게 이번 사건은 암호화폐의 가장 큰 위험이 항상 블록체인 자체는 아니라는 점을 상기시킨다. 바로 구매 뒤에 있는 고객 데이터베이스다.

Trezor 데이터 침해에서 무슨 일이 있었나

보도에 따르면, 노출된 데이터 세트에는 하드웨어 지갑을 구매한 약 14,000명의 개인과 연결된 집 주소가 포함되어 있었다. 지갑 소프트웨어나 개인 키 침해와 달리, 이번 사건은 암호화폐 직접 도난을 수반하지 않았다. 대신, 개인의 이름과 물리적 위치를 그들이 암호화폐 하드웨어를 소유하고 있으며, 나아가 상당한 디지털 자산을 보유하고 있을 가능성이 높다는 사실과 연결하는 종류의 실물 식별 정보를 노출했다.

이 구분은 중요하다. 배송지나 계정 주소를 유출하는 하드웨어 지갑 침해는 시드 문구나 자금에는 영향을 주지 않는다. 하지만 이는 공격자에게 현실 세계에서 어쩌면 더 위험한 것을 건넨다. 암호화폐를 소유한 것으로 알려진 사람들과 그들이 사는 곳이 정리된 목록이다.

집 주소가 사람들이 생각하는 것보다 더 중요한 이유

암호화폐 보유자들은 보안에 대한 생각을 디지털 위협에 집중하는 경향이 있다. 피싱 이메일, 악성 브라우저 확장 프로그램, 가짜 지갑 앱 등이다. 이러한 우려는 타당하지만, 유출된 집 주소는 위협 모델을 물리적 영역으로 이동시킨다. 보안 연구자들과 암호화폐 커뮤니티 회원들은 범죄자들이 직접적인 금전적 이득이 있다고 믿고 알려진 암호화폐 보유자를 직접 표적으로 삼는 이른바 '렌치 공격(wrench attacks)'에 대해 오랫동안 경고해 왔다.

이와 같은 침해 사고는 사실상 표적 목록을 만들어 낸다. 유출된 데이터에 지갑 잔액이나 개인 키가 포함되지 않더라도, 누군가 하드웨어 지갑을 소유하고 있다는 단순한 확인 사실이 집 주소와 결합되면, 사회공학 캠페인, 후속 피싱, 더 드물지만 더 심각한 경우 물리적 협박이나 절도 시도를 벌이는 악의적 행위자에게 가치가 있다.

2차 디지털 위험도 있다. 이런 유출 데이터는 종종 후속 피싱 캠페인에 활용된다. 피해자들은 지갑을 인증하거나 패치를 다운로드하거나 지원팀에 연락하라고 재촉하는 가짜 '보안 업데이트' 이메일이나 문자를 자주 받는다. 이러한 메시지는 지갑 비밀번호부터 2단계 인증 코드까지 감염된 기기에서 입력되는 모든 것을 조용히 캡처하도록 설계된 키로거를 포함한 악성코드를 포함할 수 있다. 메일링 리스트 유출로 시작된 침해도 피해자가 원치 않는 후속 연락에 주의하지 않으면 빠르게 확대될 수 있다.

이것이 여러분에게 의미하는 것

하드웨어 지갑을 구매한 적이 있다면, 시드 문구뿐 아니라 배송지와 계정 정보도 민감한 데이터로 취급할 가치가 있다. 이번 사건이 앞으로 암호화폐 보안에 대해 생각하는 방식을 바꿔야 하는 이유는 다음과 같다.

첫째, 알려진 암호화폐 보유자에게는 이제 물리적 보안이 디지털 보안만큼 중요하다. 주소가 하드웨어 지갑 구매와 연관된 적이 있다면, 그것이 결국 유출로 드러날 수 있다고 가정하고 그에 맞게 대비하라. 향후 암호화폐 관련 구매 시 집이 아닌 배송 주소(예: 사서함이나 회사 주소)를 사용하는 것을 의미할 수 있다.

둘째, 지갑 구매를 언급하는 모든 연락, 특히 긴급한 조치를 재촉하는 연락에 회의적이어야 한다. 합법적인 하드웨어 지갑 회사는 시드 문구를 요구하지 않으며, 링크를 클릭하거나 소프트웨어를 다운로드하여 기기를 '인증'하라고 요구하는 경우는 거의 없다. 지갑 구매를 언급하는 예상치 못한 이메일, 문자, 전화는 다른 것이 입증될 때까지 피싱 시도로 간주하라.

셋째, 주소와 관련된 데이터 유출이 암호화폐 자체가 위험하다는 의미는 아니며, 후속 사기에 넘어가 노출을 악화시키지 않는 한 그렇다는 점을 기억하라. 시드 문구가 오프라인에 비공개로 유지되는 한 자금은 안전하게 유지된다.

하드웨어 지갑 소유자를 위한 실질적 조치

이번 침해에 귀하의 정보가 포함되었을 수 있다고 생각하거나, 단순히 앞으로의 노출을 줄이고 싶다면 다음 사항을 고려하라.

최근에 받은 하드웨어 지갑 구매를 언급하는 연락을 검토하고, 원치 않는 메시지의 링크를 클릭하거나 첨부파일을 다운로드하지 마라. 이메일에 답장하는 대신 회사의 공식 웹사이트를 통해 직접 지원 요청을 확인하라.

물리적 보안을 고려하라. 집 주소가 암호화폐 소유와 공개적으로 또는 반공개적으로 연결되어 있다면, 소셜 미디어나 공개 포럼에서 보유 자산에 대해 이야기하는 것에 주의하라. 그러한 정보의 조합이 바로 공격자가 찾는 것이기 때문이다.

마지막으로, 영향받은 회사의 공식 성명을 계속 모니터링하여 복구 조치에 대한 지침을 확인하고, 아무리 공식적으로 보이더라도 시드 문구나 개인 키를 요구하는 모든 요청을 즉각적인 위험 신호로 취급하라.

자금이 직접 관련된 것이 아니라 개인 데이터와 관련된 침해는 지갑을 비우는 해킹보다 덜 긴급하게 느껴질 수 있다. 그러나 유출된 데이터에 암호화폐 소유와 연결된 집 주소가 포함되면 현실 세계의 위험은 그만큼 심각할 수 있다. 후속 사기에 대한 경계를 유지하고 암호화폐 구매에 연결하는 개인정보의 양을 다시 생각하는 것이 지금 당장 가능한 가장 실용적인 방어 수단이다.