암호화폐 하드웨어 지갑 제조사 Trezor가 사용하는 외부 이메일 서비스 업체가 해킹당해, 공격자들이 Trezor 명의로 피싱(사용자를 속여 정보를 탈취하는 사기) 이메일을 발송하고 있습니다. 피싱 메일은 "STM32 마이크로컨트롤러에 치명적 보안 취약점이 발견됐다"고 속여 사용자가 링크를 클릭하도록 유도합니다. 이와 별개로, Trezor의 물류 협력사 ShipMonk도 해킹을 당해 미국·브라질 등 전 세계 고객 81,000명의 주문 정보가 유출된 것으로 확인됐습니다. ShipMonk 침해는 데이터 분석 플랫폼 Metabase의 SQL 인젝션(데이터베이스를 조작하는 공격 기법) 제로데이 취약점을 악용한 것으로 알려졌으며, 해킹 그룹 ShinyHunters가 협박 이메일까지 보낸 것으로 드러났습니다. Trezor 사용자는 'Critical Security Alert' 제목의 이메일 링크를 절대 클릭하지 말아야 합니다.
Trezor의 외부 이메일 서비스 제공업체가 침해되어 공격자들이 Trezor 공식 도메인(help@trezor.io)을 이용한 피싱 캠페인을 전개했다. 동시에 물류 파트너 ShipMonk도 Metabase 플랫폼의 SQL 인젝션 제로데이 취약점으로 해킹돼 고객 81,000명의 개인정보가 유출됐다.
피싱 이메일로 인해 Trezor 지갑 사용자의 시드(암호화폐 복구 키)가 탈취될 위험이 있다. 유출된 정보는 이름, 배송 주소, 이메일, 전화번호이며, ShinyHunters가 ShipMonk에 협박 이메일을 보낸 것으로 확인됐다.
제3자 이메일 서비스 업체 침해 및 Metabase 분석 플랫폼의 크리티컬 SQL 인젝션 제로데이 취약점 악용이 원인이다.
Trezor는 피싱에 사용된 도메인을 즉시 차단하고 사용자에게 공식 경보를 발령했으며 침해 경위를 조사 중이다. 2024년 1월 지원 포털 침해에 이어 반복되는 공급망 보안 사고에 대한 대응이 요구된다.
'Critical Security Alert: STM32 Entropy Vulnerability' 제목의 이메일은 즉시 삭제하고 링크를 클릭하지 않아야 한다. Trezor 고객은 개인정보 유출 여부를 확인하고 피싱·스미싱에 각별히 주의해야 하며, Metabase를 사용하는 조직은 SQL 인젝션 제로데이 패치 여부를 즉시 점검해야 한다.
본문
암호화폐 하드웨어 지갑 제조사 Trezor가 수요일, 자사의 외부 이메일 서비스 업체를 침해한 위협 행위자들이 고객을 대상으로 피싱 공격을 펼치고 있다고 경고했다.
피해를 입은 고객들은 help@trezor.io 발신 주소로 된 가짜 "긴급 보안 경보" 이메일을 수신했다. 해당 이메일은 Trezor 콜드 스토리지 지갑에 사용되는 STM32 마이크로컨트롤러에 "하드웨어 마이크로컨트롤러 취약점"이 존재하며, 이로 인해 시드(seed)가 무차별 대입 공격(brute-force cracking)에 노출될 수 있다고 주장했다.
Trezor는 현재 이번 침해 사고를 조사 중이며, 공격 차단을 위해 해당 도메인을 폐쇄했다고 밝혔다.
"당사의 외부 이메일 서비스 업체가 침해되었습니다. 'Critical Security Alert: STM32 Entropy Vulnerability'라는 제목의 이메일은 저희가 발송한 것이 아닌 피싱 시도임을 유의하시기 바랍니다. 어떠한 링크도 클릭하지 마십시오." — Trezor 공식 경고문
"저희는 해당 도메인을 차단했으며, 해커들이 어떻게 당사의 정식 도메인에 접근했는지를 포함하여 상황을 조사하고 있습니다."
Trezor는 앞서 8월에도 데이터 침해 사실을 공개한 바 있다. 당시 공격자들이 물류 파트너사 ShipMonk를 해킹해 고객의 주문 데이터(성명, 배송 주소, 이메일 주소, 전화번호)를 탈취한 사건이었다.
회사는 처음에 약 14,000명의 고객이 피해를 입었다고 밝혔으나, 금요일 업데이트에서 후속 조사 결과 미국 고객 67,000명이 추가로 피해를 입은 것으로 확인돼 총 피해 규모가 81,000명에 달한다고 정정했다.
Trezor의 설명에 따르면, 이번 데이터 침해는 2026년 5월 10일부터 8월 8일 사이에 주문을 받은 브라질, 콜롬비아, 이탈리아, 포르투갈, 스웨덴, 영국 고객에게도 영향을 미쳤다. ShipMonk 시스템이 어떻게 침해됐는지는 밝히지 않았으나, BleepingComputer가 입수한 침해 통지 이메일에 따르면 공격자들은 Metabase 분석 플랫폼의 취약점을 악용한 것으로 나타났다.
8월 초, Metabase는 위협 행위자들이 크리티컬 SQL 인젝션(데이터베이스를 조작하는 공격 기법) 제로데이 취약점을 악용해 고객 인스턴스를 침해하고, 관리자 권한을 획득한 후 데이터를 탈취했다고 발표했다.
BleepingComputer는 또한 침해 이후 ShinyHunters 협박 갱단이 ShipMonk에 협박 이메일을 보낸 사실도 파악했다.
한편 2024년 1월, Trezor는 또 다른 데이터 침해 사건을 공개한 바 있다. 당시 외부 지원 티켓 포털이 침해되어 약 66,000명의 사용자 데이터(이름, 사용자명, 이메일 주소 등)가 노출됐다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
