Revolut, 위조된 정부 요청에 따라 사용자 데이터를 넘긴 의혹
TREE NEWS 보도: 온체인 조사관 ZachXBT는 영국 기반 디지털 뱅킹 및 암호화폐 플랫폼인 Revolut이 사기성 정부 정보 요청을 정당한 것으로 착각하고 요청자에게 일부 사용자 데이터를 제공한 것으로 보인다고 경고했다. 유출된 자료에는 신원 및 연락처 정보, 신분증 사본, 인증 셀피가 포함된 것으로 알려졌으며, 고액 자산가 사용자가 특별히 표적이 된 정황이 있다.
사회공학 공격의 메커니즘
확인된다면 이 사건은 기술적 취약점이 아닌 전형적인 사회공학적 침해에 해당한다. 공격자들은 정부 기관을 사칭해 데이터 공개 절차를 유발했고, 플랫폼의 내부 검증 통제는 위조된 요청을 진짜 법적 명령과 구별하지 못했다. 암호화폐 네이티브 사용자에게 이 유출은 특히 위험하다. 신분증과 셀피는 SIM 스왑 공격, 계정 탈취, 그리고 거래소 계정과 셀프 커스터디 지갑 모두를 탈탈 털어낼 수 있는 표적형 피싱의 원료이기 때문이다.
고액 자산가 암호화폐 사용자가 주요 표적인 이유
부유한 고객에 초점이 맞춰졌다는 보고는 시사하는 바가 크다. 큰 잔액을 보유한 암호화폐 보유자는 거래가 되돌릴 수 없고 자산이 몇 분 안에 국경을 넘어 이동할 수 있기 때문에 조직 범죄의 매력적인 표적이다. 유출된 여권 스캔본과 전화번호, 이메일 주소가 결합되면 공격자는 통신사나 고객 지원 창구에 피해자를 사칭하는 데 필요한 모든 것을 갖추게 된다. KYC 데이터와 암호화폐 노출의 결합은 하드웨어 지갑으로도 완전히 완화할 수 없는 단일 실패 지점을 만든다.
규제 및 업계 시사점
- AML/KYC 데이터 보관은 이제 시스템적 위험이다. 중앙화 플랫폼은 방대한 개인정보 허니팟을 보유하고 있다. 영국, EU, 미국 규제 당국은 기업이 법 집행 요청을 어떻게 인증하는지 면밀히 조사할 가능성이 높다.
- 법적 요청 검증을 강화해야 한다. 플랫폼은 고객 기록 공개 시 암호학적 검증, 콜백 절차, 다중 인원 승인을 도입해야 한다.
- 사용자 책임 문제가 심화될 것이다. 플랫폼이 자산 도난으로 이어지는 데이터를 유출할 경우, 플랫폼 과실과 사용자 책임의 경계는 법원과 금융 옴부즈만에 의해 시험대에 오를 것이다.
- 평판 손상은 셀프 커스터디 채택을 가속화할 수 있다. 이와 같은 사건은 중앙화 중개기관에 신원 데이터를 보관하는 것 자체가 위험하다는 주장을 강화한다.
앞으로의 전망
암호화폐 업계는 수년간 개인 키와 스마트 컨트랙트를 강화해 왔지만, 가장 약한 고리는 여전히 운영 측면이다. 위조된 이메일이나 전화 한 통이다. 은행과 거래소가 정부 데이터 요청에 대한 투명성 보고서를 발표하고, 영지식 또는 선택적 공개 신원 시스템을 도입하며, 데이터 유출 책임에 대비한 보험에 가입하도록 압력이 커질 것이다. 사용자를 위한 실질적 교훈은 즉각적이다. 어떤 플랫폼이 보유한 KYC 데이터도 결국 유출될 수 있다고 가정하고, 하드웨어 기반 2단계 인증을 활성화하며, 금융 계정에는 전용 전화번호를 사용하고, 신원 노출과 자산 보관을 분리하는 것을 고려해야 한다. 법적 요청 검증이 온체인 보안만큼 엄격해질 때까지 사회공학은 암호화폐에서 가장 수익성 높은 공격 벡터 중 하나로 남을 것이다.
