데이터 유출 사고 발생 후 트레저 사용자 1만 4천 명에게 피싱 경고가 발령되었습니다

하드웨어 지갑 제조업체 트레저(Trezor)의 배송 파트너인 쉽몽크(ShipMonk)가 해킹당하면서 약 1만 4천 명의 트레저 구매자들의 이름과 연락처 정보가 유출되었습니다. 

이번 사태로 피해를 입은 사람들은 피싱 공격의 위험이 높아졌으며, 프랑스 사용자들이 경험했듯이 자택에서 절도 피해를 입는 경우도 발생했습니다.

트레저 유출 사건에서 어떤 세부 사항들이 드러났나요? 

트레저는 자사 블로그 게시물을 통해 쉽몽크가 8월 10일 월요일에 주문 데이터 저장 시스템 침해 사실을 공유했을 때 이를 알게 되었다고 밝혔습니다. 

구체적으로 말하자면, 5월 10일부터 8월 8일 사이에 배송된 주문이 영향을 받았으며, Trezor 자체 인프라는 영향을 받지 않았고 사용자 지갑 자체는 안전하게 유지됩니다. 

회사 측은 이름, 이메일 주소, 전화번호, 배송 주소가 모두 유출된 사람이 11,742명이고, 이름, 도시, 이메일 주소만 유출된 사람이 1,947명이라고 밝혔습니다. 이로써 누적 피해자 수는 13,689명에 달합니다. 

트레조르는 구매자들이 미국, 영국, 스웨덴, 콜롬비아, 브라질, 이탈리아, 포르투갈 등 7개국에 걸쳐 있다고 밝혔습니다. 

ShipMonk가 배송 후 3개월이 지나면 주문 기록을 삭제하거나 익명화하는 정책을 시행했기 때문에 피해는 다소 최소화되었습니다. Trezor는 Amazon을 통해 구매한 고객은 다른 배송 채널을 거쳤기 때문에 피해를 입지 않았다고 밝혔습니다.

이 회사는 과거에도 유사한dent을 경험했지만, 이번 공격으로 고객의 전화번호와 배송 주소가 노출된 것은 처음이라고 Trezor는 밝혔습니다. 이 회사의 제3자 지원 포털은 2024년 1월에 해킹당해 66,000명의 사용자가 피해를 입었고, 2022년에는 또 다른 사건으로 106,000명 이상의 사용자가 피해를 입었습니다.  

트레저 해킹은 어떻게 발생했나요? 

ShipMonk는 공격자들이 자사가 사용하는 분석 플랫폼인 Metabase의 취약점을 악용했다고 밝혔습니다. Metabase는 8월 6일에 해당 문제를 공개적으로 지적했습니다. 

해당 버그는 침입자에게 관리자 권한을 부여하는 치명적인 SQL 인젝션 제로데이 취약점이었으며, 동일한 공격으로 노트북 제조업체인 Framework와 폼 작성 도구인 Tally를 포함한 다른 회사들도 피해를 입었습니다. 

그 이후로, 트레저 측은 도난당한 기록이 게시되거나 판매되거나 어떤 사기 행위에 사용되었다는 증거가 없다고 밝혔음에도 불구하고, ShipMonk는 ShinyHunters 그룹으로부터 협박성 이메일을 받고 있습니다.

트레저의 주요 경쟁사인 레저는 2020년 데이터 유출 사고로 수십만 명의 사용자 데이터가 유출되었으며, Cryptopolitan 보도에 따르면 2026년 5월까지도 사기꾼들이 레저 사용자들에게 악성 QR 코드가 포함된 가짜 "양자 저항 보안 업데이트" 편지를 발송하는 일이 있었습니다. 레저는 지난 1월 결제 처리 업체인 글로벌-e를 통한 별도의 데이터 유출 사고 도 공개했습니다

우려스러운 점은 범죄자들이 유출된 개인 정보를 이용해 납치나 주택 침입을 통해 암호화폐를 강탈하려는 대상을 물색하기 시작했다는 것입니다. 체이나리시스(Chainalysis)에 따르면 2026년 상반기에 이러한 폭력적인 공격으로 3천만 달러 이상이 탈취되었으며, 이는 2025년 연간 수치인 5천8백만 달러를 넘어설 것으로 trac됩니다. 

트레조르는 영향을 받은 고객들에게 이메일로 통지했다고 밝혔습니다. 또한, 보관함, 중립적인 포장, 배송 후 주소 정보matic 삭제 기능 등을 갖춘 더욱 안전한 배송 옵션을 제공할 예정이며, 9월까지 유럽연합(EU)에서, 연말까지 미국에서 출시할 계획입니다.