암호화폐 하드웨어 지갑 제공업체인 SafePal은 2025년 3월 2일부터 2026년 4월 11일 사이에 주문한 약 39,798명의 고객에게 영향을 미친 데이터 유출 사건을 발표했습니다. 회사는 취약점이 악용되어 주문 정보에 무단으로 접근할 수 있었으며, 현재 한 위협 행위자가 도난당한 데이터를 사이버 범죄 포럼에서 판매한다고 주장하고 있다고 밝혔습니다.
영향을 받은 데이터에는 고객 이름, 이메일 주소, 배송 주소, 전화번호 및 구매 정보가 포함됩니다. SafePal은 조사 결과 지갑 복구 문구, 개인 키, 비밀번호, 은행 계좌 정보, 은행 카드 번호, 정부 발급 신분증 또는 기타 인증 정보가 노출되었다는 증거는 발견되지 않았다고 확인했습니다.
주문 추적 기능의 취약점으로 무단 접근 발생
SafePal은 7월에 시작한 포괄적인 검토 및 주문 처리 시스템 재구성 과정에서 문제를 발견했습니다. 회사는 한 확장 기능의 주문 추적 기능에 존재한 권한 부여 취약점으로 인해 다른 고객의 주문 정보에 접근할 수 있었다고 결론 내렸습니다.
회사는 2026년 5월 초 이번 사건과 일치하는 제보를 받았지만, 처음에는 이를 개별적인 사례로 처리한 후 공식 보안 조사로 확대하고 추가 보호 조치를 도입했습니다. 전자상거래 시스템 구성 요소, 외부 통합 및 물류 서비스 파트너가 서로 연결되어 있었기 때문에 SafePal은 여러 가지 가능한 설명을 즉시 배제할 수 없었다고 밝혔습니다.
조사 과정에서 회사는 2025년 9월부터 2026년 4월 사이 데이터 정리 작업이 정상적으로 수행되지 않도록 한 별도의 설정 오류도 발견했습니다. 이로 인해 2025년 3월에 작성된 주문 데이터가 보존되었습니다. 회사는 해당 취약점을 수정하고 추가 보안 조치를 시행했으며, 외부 보안 업체와 협력해 수정 사항을 검증하고 주문 처리 시스템을 보다 광범위하게 검토하고 있습니다.
고객에게 실제로 달라지는 점은 무엇인가?
SafePal은 8월 16일 영향을 받은 모든 고객에게 주문 정보가 영향을 받았다는 내용의 경고가 포함된 제목으로 이메일을 보냈습니다. 또한 고객이 주문 번호와 배송 국가를 입력해 해당 주문의 데이터가 도난당한 정보에 포함되었는지 확인할 수 있는 온라인 확인 도구를 출시했습니다.
회사는 펌웨어 업데이트, 제품 반품, 환불 또는 법 집행기관의 수사와 관련된 피싱 메시지와 표적 전화를 통한 데이터 악용을 경고하고 있습니다. 고객들은 5월부터 피싱 메시지와 전화를 신고했으며, 그중에는 SafePal X1 지갑에서 취약점이 발견되었다며 펌웨어 업데이트 설치를 요구하는 메시지도 있었습니다. 회사는 이번 사건과 관련된 사기성 웹사이트와 링크를 30개 이상 삭제했다고 밝혔습니다.
자산을 이전하거나 지갑을 교체해야 하는가?
SafePal은 주문 정보가 노출된 고객이 이번 유출만을 이유로 기기를 교체하거나 암호화폐를 이전할 필요는 없다고 밝혔습니다. 그러나 고객이 피싱 메시지에 응답해 복구 문구나 개인 키를 공유했다면 지갑이 침해된 것으로 간주하고, 신뢰할 수 있는 SafePal 기기 또는 공식 애플리케이션을 사용해 자산을 새 지갑으로 이전할 것을 권고합니다.
회사는 영향을 받은 주문의 개인정보를 활성 전자상거래 서버에서 삭제했으며, 법 집행기관의 수사에 사용될 가능성에 대비해 오프라인 암호화 사본을 보관하고 있다고 밝혔습니다. BleepingComputer는 공격자가 실제로 데이터를 보유하고 있는지 또는 판매 제안이 진짜인지 독립적으로 확인하지 않았지만, 해당 공고에 언급된 주문 기간과 고객 수는 SafePal이 발표한 내용과 일치합니다.