키스톤 하드웨어 월렛, 데이터 침해 공개
TREE NEWS 보도: 암호화폐 셀프 커스터디용 하드웨어 월렛 제공업체인 키스톤(Keystone)이 공식 웹사이트에 대한 무단 접근이 발생해 고객 배송 정보가 유출됐다고 밝혔다. 회사는 10월 20일 의심스러운 활동을 발견했고, Shopify와 API 활동을 확인한 후 10월 23일 제3자가 고객 주문 데이터를 획득했음을 확인했다. 유출된 정보에는 이름, 연락처, 배송 주소, 제품 및 가격과 같은 주문 세부 정보가 포함된다. 중요한 점은 결제 카드나 은행 정보, 니모닉 문구, 개인 키, 월렛 비밀번호는 침해되지 않았다.
키스톤은 무단 접근을 차단하고 취약점을 패치했으며 조사를 시작했다고 밝혔다. 회사는 영향을 받은 사용자에게 이메일로 통지하고 피싱 시도에 대해 경고하고 있다. 사기꾼들은 환불이나 기기 교체와 같은 구실을 사용하여 전화, SMS, 이메일 또는 실제 우편을 통해 키스톤을 사칭해 사용자가 민감한 정보를 공개하도록 속일 수 있다. 키스톤은 사용자가 니모닉 문구나 개인 키를 누구와도 공유해서는 안 된다고 강조했다.
암호화폐 업계에 대한 시사점
이 사건은 암호화폐 보안의 중요하지만 종종 간과되는 측면, 즉 하드웨어 월렛 제공업체의 물리적 및 데이터 보안을 부각시킨다. 하드웨어 월렛은 개인 키를 오프라인으로 유지하도록 설계되었지만, 그 배후의 회사들은 공격자에 의해 악용될 수 있는 귀중한 고객 데이터를 보유하고 있다. 특히 배송 정보는 표적 피싱 공격, 협박, 심지어 물리적 절도에 사용될 수 있다. 이 침해는 암호화폐의 보안이 기기 자체를 넘어 전체 공급망과 고객 데이터 처리 프로세스에까지 확장된다는 점을 상기시킨다.
침해 시점도 주목할 만하다. 암호화폐 사용자를 대상으로 한 정교한 피싱 캠페인이 증가하는 시기와 겹친다. 공격자들은 점점 더 사회공학적 전술을 사용하여 유출된 데이터와 설득력 있는 내러티브를 결합해 기술적 보호 장치를 우회하고 있다. 키스톤의 신속한 공개와 투명성은 칭찬할 만하지만, 이 사건은 하드웨어 월렛 제조업체가 고객 정보 보존을 제한하고 암호화된 통신 채널을 사용하는 등 더 엄격한 데이터 최소화 관행을 채택해야 할 필요성을 강조한다.
미래 지향적 관점
암호화폐 채택이 증가함에 따라 하드웨어 월렛 제공업체는 데이터 보호 조치에 대해 점점 더 엄격한 감시에 직면할 것이다. 유럽의 GDPR과 다른 지역의 유사 법률과 같은 규제 프레임워크는 데이터 처리에 엄격한 요구 사항을 부과하며, 침해는 상당한 벌금과 평판 손상으로 이어질 수 있다. 키스톤의 대응—신속한 억제, 사용자 통지, 사기 경고—은 긍정적인 예를 제시하지만, 업계 전체가 운영 보안을 우선시해야 한다. 한편 사용자는 경계를 늦추지 말고 통신을 확인하며, 가능한 경우 2단계 인증을 사용하고, 시드 문구를 절대 공개하지 말아야 한다. 이 사건은 향후 유사한 위험을 완화하기 위해 분산형 ID 솔루션 및 익명 배송 옵션과 같은 프라이버시 보호 기술의 채택을 가속화할 수 있다.
