하드월렛 키스톤, 고객 개인정보 유출…배송지·구매 내역 노출

가상자산(암호화폐) 하드웨어 지갑 제조업체 키스톤(Keystone)에서 고객 개인정보가 외부로 유출되는 보안 사고가 발생했다.

25일(한국시간) 더블록에 따르면 키스톤은 공식 엑스(X)를 통해 온라인 쇼핑몰에서 비인가 접근이 발생해 고객의 이름과 연락처, 배송 주소, 구매 상품 및 가격 정보 등이 유출됐다고 밝혔다.

키스톤은 지난 20일 공식 웹사이트에서 비정상적인 접근을 발견했으며, 23일 전자상거래 플랫폼 쇼피파이(Shopify)의 응용프로그램 인터페이스(API) 활동을 확인하는 과정에서 제3자의 정보 탈취 사실을 파악했다. 다만 결제카드와 은행 계좌 정보, 지갑 복구 문구 및 개인키, 비밀번호 등은 유출되지 않았다고 설명했다.

회사는 문제가 된 접근 경로를 차단하고 보안 취약점을 수정했으며, 피해 고객들에게 이메일로 관련 사실을 안내하고 있다. 정확한 피해 인원과 공격 경로는 아직 확인되지 않았다. 키스톤은 추가 조사를 거쳐 상세한 사고 보고서를 공개할 예정이다.

이번 사고로 키스톤의 개인정보 보관 정책에도 의문이 제기됐다. 키스톤은 그동안 제품 주문 후 180일이 지나면 배송 정보를 영구 삭제한다고 안내해 왔다. 그러나 일부 이용자들은 구매한 지 2년이 넘었거나 마지막 주문 이후 214일이 지났는데도 개인정보 유출 안내를 받았다고 주장했다.

또 다른 이용자는 2024년 구매 당시의 주문 정보를 알고 있는 인물로부터 사칭 전화를 받았다고 밝혔다. 다만 해당 주장들은 독립적으로 확인되지 않았으며, 키스톤도 180일 정보 삭제 정책의 이행 여부에 대해서는 구체적인 입장을 내놓지 않았다.

하드웨어 지갑 업계에서는 최근 유사한 보안 사고가 잇따르고 있다. 지난 8월 트레저(Trezor)는 배송 협력업체의 정보 유출로 약 1만4000명의 고객 정보가 노출됐다고 발표했으며, 이후 미국 고객 약 6만7000명이 추가로 영향을 받은 것으로 확인됐다. 세이프팔(SafePal)도 주문 조회 시스템의 취약점으로 약 4만명의 개인정보가 유출됐다고 밝힌 바 있다.

키스톤은 유출된 개인정보가 사칭 사기와 피싱 공격에 악용될 가능성을 경고했다. 특히 환불이나 기기 교체, 주문 정보 수정을 명목으로 접근하는 연락에 주의하고, 출처가 불분명한 링크를 클릭하거나 지갑 복구 문구를 입력하지 말 것을 당부했다.