이스라엘 최대 규제 암호화폐 브로커인 빗츠오브골드(Bits of Gold)가 최대 20만 명에 달하는 고객의 개인정보가 유출됐을 가능성을 두고 조사에 착수했다고 현지 매체 칼칼리스트(Calcalist)가 보도했다. 빗츠오브골드는 이스라엘 자본시장청(Capital Market Authority)이 발급한 아홉 개의 가상자산서비스제공업체(VASP) 라이선스 중 하나를 보유하고 있으며, 등록 고객은 약 30만 명에 달한다.
유출된 것으로 알려진 정보에는 실명, 주민등록번호에 해당하는 국가 신분증 번호, 이메일 주소, IP 주소, 전화번호 등이 포함된다. 회사 측은 자금과 코인, 계정 비밀번호, 신분증 사본, 신용카드 정보는 이번 사고의 영향을 받지 않았다고 밝혔다.
더 넓은 소프트웨어 공급망 사고의 일부
회사 측 자체 판단으로는 직접적인 표적이 된 것은 아니다. 이번 유출은 빗츠오브골드가 고객 지원 및 데이터 분석 도구로 사용하던 제3자 소프트웨어 업체의 보안 결함에서 비롯된 것으로, 빗츠오브골드뿐 아니라 전 세계 다른 기업들에도 영향을 미친 것으로 알려졌다. 해당 지원 시스템에 대한 무단 접근을 확인한 즉시 회사는 접근을 차단하고 이를 기반 데이터 소스와 분리했다.
같이 보면 좋은 기사: ENS 토큰홀더, 6500만 달러 기금 정식 재단에 이관 승인
진행 중인 대응
빗츠오브골드는 보안팀이 사이버 사고 조사 및 대응을 전문으로 하는 외부 업체와 함께 전면적인 사고 검토에 착수했으며, 관계 당국에도 통보했다고 밝혔다. 최초 공개 시점을 기준으로 회사는 정확히 몇 명의 고객이 영향을 받았는지, 어느 제3자 업체의 시스템이 뚫렸는지는 아직 확인해 주지 않았다.
규제받는 브로커도 벤더 리스크에서 자유롭지 않다
이번 사고는 규제 라이선스만으로는 온전히 해결되지 않는 지점을 보여준다. VASP 라이선스는 기업이 고객 자금을 어떻게 다루고 금융 규정을 어떻게 준수하는지를 규율할 뿐, 지원 스택에 연결된 모든 제3자 업체의 보안 수준까지 담보하지는 않는다. 모바일 앱 배급사부터 하드웨어 지갑 제조사까지, 암호화폐 플랫폼들은 가장 취약한 보안 고리가 자사 핵심 제품이 아니라 그 주변을 감싸고 있는 평범한 고객지원·분석 도구에 있다는 사실을 점점 더 자주 체감하고 있다.
