암호화폐(가상자산) 하드웨어 지갑 제조사 Trezor의 물류 파트너인 ShipMonk가 해킹을 당해 고객 약 67,000명의 이름, 이메일, 전화번호, 배송 주소가 유출됐습니다. 공격자들은 Metabase의 클라우드 서비스에서 발견된 SQL 인젝션(데이터베이스를 조작하는 해킹 기법) 제로데이 취약점을 악용해 ShipMonk 시스템에 침투했습니다. 유출된 정보를 이용한 피싱(사기) 전화와 QR코드가 담긴 실물 우편물이 실제로 고객들에게 발송되는 피해가 확인됐습니다. Trezor 자체 시스템이나 기기는 침해되지 않았지만, 가상자산 보유자를 노린 물리적 강탈 범죄도 급증하고 있어 유출된 고객들의 신체 안전까지 위협받고 있습니다. Trezor 측은 익명 배송 옵션 도입을 추진 중이며, 고객들에게 사기 시도에 주의할 것을 당부했습니다.
물류 대행사 ShipMonk가 Metabase Cloud SaaS의 SQLi 제로데이 취약점을 통해 침해됐으며, Trezor 고객 약 67,000명(2019년 11월~2021년 8월 주문)의 성명·이메일·전화번호·배송지 주소가 유출됐다. 별도로 7개국 3,889명의 전체 배송 데이터도 노출됐다.
피싱 전화와 QR코드 포함 실물 우편 피싱이 실제로 확인됐다. 가상자산 보유자를 대상으로 한 폭력적 강탈 공격이 증가 추세이며, Chainalysis는 2026년 상반기에만 피해액이 3,000만 달러를 초과했다고 추산했다.
ShipMonk가 계약상 의무임에도 불구하고 90일 이내 고객 데이터를 삭제하지 않고 보유했으며, 이 데이터가 Metabase Cloud의 SQLi 제로데이 취약점 공격으로 탈취됐다.
SatoshiLabs는 피해 고객에게 경고 이메일을 발송했다. Trezor 자체 시스템과 기기는 안전하다고 확인했으며, 익명 배송 옵션(전용 결제, 사물함 수령, 중립 포장, 발송자 정보 익명화, 배송 후 자동 삭제) 도입을 추진 중이다.
공급망 내 제3자 데이터 처리 업체가 계약상 데이터 삭제 의무를 이행했는지 서면 확인만으로는 부족하며 실제 검증이 필요하다. 가상자산 관련 서비스 고객은 물리적 위협까지 고려한 보안 조치가 요구된다.
본문
암호화폐 하드웨어 지갑 Trezor 제조사 SatoshiLabs의 고객 약 67,000명이 피싱 공격에 노출될 위험이 높아졌다. 이름, 이메일 주소, 전화번호, 배송 주소가 유출됐기 때문이다.
"유출된 정보는 사기 이메일, 허위 전화 또는 실물 우편에 악용될 수 있으며, 피해 당사자들에게 물리적 보안 위협을 초래할 가능성도 있습니다." 체코에 본사를 둔 이 회사는 지갑 배송을 대행하는 업체 ShipMonk에서 2026년 8월 발생한 데이터 침해 사고에 대한 업데이트를 통해 이같이 확인했다.
배송 파트너에서 발생한 침해
Trezor 제조사가 8월 13일 발표한 초기 공지에 따르면, 공격자들은 고객 데이터가 저장된 ShipMonk의 시스템에 침투했다. (ShipMonk는 이후 고객들에게 자사 침해가 Metabase의 Cloud SaaS 플랫폼에 있는 SQLi(SQL 인젝션) 제로데이 취약점을 공격자가 악용한 결과라고 밝혔다.)
SatoshiLabs는 배송 파트너에게 90일 이후 고객 데이터를 삭제 또는 익명화하도록 요구하고 있었음에도, ShipMonk는 2026년 5월 10일부터 8월 8일 사이 미국, 영국, 스웨덴, 콜롬비아, 브라질, 이탈리아, 포르투갈로 배송된 주문에 대해 이를 이행하지 않아 3,889명의 고객 데이터가 노출됐다.
지난주 발표된 업데이트에서 SatoshiLabs는 동일한 침해 사고 과정에서 공격자들이 2019년 11월부터 2021년 8월 사이 주문한 미국 기반 고객 약 67,000명의 전체 배송 정보도 입수했다고 확인했다.
"ShipMonk와의 전체 계약 기간 동안 우리는 데이터 삭제 확인을 반복적으로 요청했고, 계약과 데이터 정책 및 과거 커뮤니케이션에 따라 서면 확인을 받았습니다. 해당 확인에도 불구하고 그들의 시스템에서 데이터가 삭제되지 않았다는 사실에 매우 실망했습니다." SatoshiLabs는 이같이 재차 강조했다.
피해 수습 및 향후 조치
각 사실이 확인될 때마다 회사는 피해 고객들에게 이메일을 발송해 사기 시도에 주의할 것을 경고했다.
암호화폐 지갑 제조사는 자사 시스템은 침해되지 않았으며 고객 기기도 안전하다고 확인했다.
SatoshiLabs와 ShipMonk의 파트너십 지속 여부는 현재로서는 미정이나, 회사는 익명 배송 옵션 — "전용 결제창, 사물함 수령, 중립 포장, 발송자 정보 익명화, 배송 완료 후 배송 식별 정보 자동 삭제" — 을 가능한 한 빨리 제공하기 위해 작업 중이라고 밝혔다.
그 전까지 Trezor 암호화폐 지갑 구매 사실이 노출되는 것을 최소화하고자 하는 고객은 주문 시 익명 이메일 주소를 사용하고, 암호화폐로 결제하거나 온라인 구매 시 일회용 가상카드를 사용하며, 배송 주소로 사서함(P.O. Box)을 활용할 것이 권고된다.
물리적 공격의 위험
Reddit에서 여러 고객들이 피싱 전화를 받거나 실물 우편으로 QR 피싱 편지를 받았다고 제보했다.
QR 피싱 편지 (출처: Aim-AsphaltMan)
"Trezor가 2013년 설립된 이래 고객의 전화번호와 배송 주소가 노출된 침해 사고는 이번이 처음입니다. 이것이 얼마나 심각한 일이며 고객들에게 어떤 잠재적 위험을 초래하는지 충분히 이해하고 있으며, 피해를 입은 분들께 진심으로 사과드립니다." 회사는 이같이 인정했다.
블록체인 분석 기업 Chainalysis에 따르면, 암호화폐 보유자를 노린 폭력적 공격이 최근 몇 년간 급증하고 있다.
"암호화폐 채택이 확산되면서, 한 개인이 스마트폰이나 하드웨어 지갑으로 수백만 달러에 접근할 수 있다는 범죄자들의 인식도 높아졌습니다." 그들은 최근 이같이 지적했다.
"올해 현재까지 폭력 범죄자들이 보유자들로부터 성공적으로 탈취한 금액이 3,000만 달러를 넘는 것으로 추산됩니다. 이 추세가 하반기에도 계속된다면, 2026년은 사상 최악의 가상자산 폭력 공격 피해 연도가 될 것이며, 2025년 총액인 5,800만 달러를 초과하게 됩니다."
일반적으로 사용자들은 암호화폐 보유 사실을 공개적으로 밝히지 않고, 미끼/강요 대응용 지갑(decoy/duress wallet), 패스프레이즈(추가 암호)로 보호되는 숨겨진 지갑, 다중 서명(multi-signature) 인증 설정 등을 활용할 것이 권장된다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
