원키, 고객 데이터 30일 제한…키스톤 삭제 약속 미준수

OneKey의 창립자 Yishi Wang은 경쟁 하드웨어 지갑 제조사 Keystone이 거의 26,000명의 구매자 기록이 유출된 사건 이후 180일 삭제 시스템의 실패를 인정함에 따라, 30일 이내에 고객 데이터를 삭제할 것이라고 약속했습니다.

Keystone의 도움말 센터는 최종 사용자 기록 삭제가 Shopify에서 처리한다고 명시했으며, 이는 OneKey와 Keystone 같은 지갑 제조사의 통제 범위를 넘어 Shopify 스토어 및 물류 기업의 수준에서 보안 취약점이 존재함을 드러냅니다. 전자가 30일 이내 삭제를 약속했음에도 불구하고 말입니다.

OneKey가 데이터 보유 기간을 단축하는 이유

OneKey의 Yishi Wang 확인 화요일에 하드웨어 지갑 제조사가 최근 보안 침해와 공급망 공격으로 업계 전반에서 드러난 보안 취약점 이후 자체 보안 시스템을 감사하고 있다고 밝혔습니다.

왕은 이 조치가 예방적 조치라고 강조하며, “OneKey는 보안 사고를 겪지 않았습니다”라고 작성했습니다. 대신 데이터 보존 기간을 30일로 제한하는 결정은 타사에서 발생한 문제에 대한 직접적인 대응입니다.

짧은 데이터 보존 기간의 이유는 벤더가 고객 데이터를 더 오래 보관할수록 보안 침해로 노출될 수 있는 고객 데이터의 양이 커지기 때문입니다.

Keystone 침해 사고의 원인은 무엇이었습니까?

Keystone 공개했다 180일 데이터 보존 기간이 끝날 때 자동으로 고객 데이터를 삭제하는 시스템이 아무런 경고 없이 작동을 멈췄습니다. 당사는 고객 데이터를 정시에 삭제하겠다는 약속을 이행하지 못했으며, 이 실패에 대해 책임을 집니다.”라고 회사는 말했습니다.

Keystone는 25,964건의 기록이 여전히 개인 데이터, 이름, 배송 주소, 연락처 정보 및 구매 내역을 포함하고 있음을 발견했습니다. Shopify 구매자 기록 51,083건 검토apparenty, 2024년으로 거슬러 올라가는 데이터조차도 180일의 제한을 훨씬 초과하여 여전히 보존되어 있었습니다. 회사는 강조했습니다. 2026년 1월, Ledger 고객이 이커머스 파트너인 Global-e에서 유출 사고가 발생했다는 사실을 알게 된 후.

조사 결과, 미결제 체크아웃 기록 12,873건에서 민감한 정보가 발견되었습니다.

이에 Keystone은 보유 기간을 90일로 단축했습니다.

Keystone은 또한 10월 26일, 공격자들이 기기가 정품임을 증명하는 데 사용하는 WebAuth 키를 탈취했으며, 이는 외부 모니터링 도구의 결함으로 인해 침입자가 접근 권한을 높일 수 있었기 때문이라고 밝혔습니다. Keystone은 해당 활동을 10월 20일에 처음 감지했습니다.

이 키는 제조 과정에서 각 기기에 영구적으로 기록되며 덮어쓸 수 없으므로, Keystone은 해당 키가 포함된 재고 내 모든 18,835대를 폐기할 계획입니다. 새로운 지갑에는 대체 키가 제공됩니다.

해당 기업은 미완료된 웹사이트 주문의 출고를 중단하고 사전 주문 방식으로 전환했습니다.

삭제 약속은 데이터를 보유하고 있는 파트너의 신뢰도에 따라 그 가치가 결정됩니다.

특히, 하드웨어 지갑 제조사만이 고객 데이터를 보관하는 것은 아닙니다. 이커머스 플랫폼과 배송 파트너 역시 고객의 이름, 주소 및 주문 내역을 처리하며, 최근 대부분의 침해 사고는 이러한 단계에서 발생했습니다.

Trezor의 데이터 유출 사건 ShipMonk가 반복적인 서면 보장에도 불구하고 기록을 삭제하지 않음에 따라 81,000명의 고객에게 도달했습니다. SafePal 39,798 명의 고객에 대해曝露 주문 추적 결함을 통해 노출되었으며, 이후 보관 기간을 90일로 단축했습니다. Ledger는 CryptoBilis에서 재판매된 장치가 복구 구문을 캡처하는 칩을 숨기고 있다고 확인했습니다. Cryptopolitan은 온체인 연구자들을 인용하여 추정 손실액 86 백만 달러 이상으로 추정됩니다.