Revolut, 고객 KYC 및 비트코인 거래 데이터 유출 확인
TREE NEWS 보도: Revolut은 공격자들이 정부 도메인을 사칭해 사기성 데이터 요청을 제출한 후 고객의 고객확인(KYC) 기록과 비트코인 거래 데이터가 노출되었다고 밝혔다. 이 사건은 민감한 신원 및 지갑 정보를 보유한 암호화폐 플랫폼에게 기술적 취약점 공격뿐 아니라 컴플라이언스 채널에 대한 사회공학 공격이 주요 공격 벡터가 되었음을 보여준다.
공격 전개 방식
회사에 따르면 이번 유출은 사칭된 정부 도메인에서 발송된 가짜 요청에서 비롯되었으며, 이는 검증 절차를 우회해 고객 신분 증명서와 비트코인 거래 세부 정보가 공개되도록 한 것으로 보인다. 온체인 조사관 ZachXBT는 이 작전이 특히 고액 자산가 사용자를 겨냥했을 가능성이 있다고 추측하며, 상당한 디지털 자산을 보유한 개인의 데이터를 수집하려는 의도적 시도임을 시사했다.
KYC 데이터와 거래 내역의 결합은 특히 위험하다. KYC 파일에는 일반적으로 여권, 신분증, 주소 증명, 셀피가 포함되며, 이는 신원 도용, SIM 스왑 공격, 표적 피싱의 원료가 된다. 한편 비트코인 거래 데이터는 공개 원장 기록과 교차 참조되어 지갑, 잔액, 거래 상대방을 매핑할 수 있어 보유자의 익명성을 사실상 해제한다.
업계에 중요한 이유
- 컴플라이언스가 이제 공격 표면이다. 규제 당국과 법 집행 기관은 일상적으로 고객 데이터를 요청한다. 플랫폼이 그러한 요청을 견고하게 인증하지 못하면 공격자들은 그 틈을 악용할 것이다.
- 고액 자산가 표적화. ZachXBT의 평가가 맞다면, 이는 “렌치 공격”과 갈취의 전조이며, 범죄자들은 유출된 보유 자산 데이터를 이용해 피해자를 물리적 또는 디지털로 강압할 수 있다.
- 규제 당국의 감시. GDPR 및 MiCA와 같은 신흥 암호화폐 규정 아래에서 기업은 개인 데이터 보호 실패로 벌금과 집행 조치를 받을 수 있다.
- 신뢰 침식. Revolut의 암호화폐 사용자들은 중앙화 플랫폼에 얼마나 많은 신원 및 지갑 정보를 맡길지 재고할 수 있다.
앞으로의 전망
이 사건은 데이터 요청에 대한 강화된 검증 프로토콜 도입을 가속화할 것이다. 정부 기관의 암호화 서명, 아웃오브밴드 확인, 감사 추적 등이 그것이다. 기업은 또한 데이터 최소화로 나아갈 수 있다. KYC 데이터를 덜 저장하고, 신원 증명을 토큰화하며, 영지식 증명을 사용해 원본 문서를 보유하지 않고도 규정을 충족하는 방식이다.
사용자에게 주는 교훈은 냉혹하다. 중앙화 암호화폐 플랫폼은 여전히 신원 및 자산 데이터의 허니팟이다. 셀프 커스터디, 프라이버시 보호형 KYC 솔루션, 데이터 유출을 보장하는 보험 상품에 대한 수요 증가가 예상된다. 한편 규제 당국은 플랫폼이 정부 데이터 요청에 대응하는 방식에 대한 규칙을 강화할 가능성이 높으며, 이는 보안 실패를 더 넓은 컴플라이언스 개혁의 계기로 만들 것이다.
