암호화폐 하드웨어 지갑 제조사 세이프팔(SafePal)이 약 3만 9,798명 고객의 주문정보가 유출된 데이터 침해 사고를 공개했다. 원인은 고객이 배송 조회를 할 수 있도록 지원하던 제3자 플러그인의 인증 결함이었다.
이 결함은 접근 통제가 전혀 없는 택배 조회 시스템과 비슷하게 작동했다. 요청 값의 주문번호만 바꾸면 다른 고객의 영수증과 배송 정보를 누구나 볼 수 있었던 것이다. 노출 범위는 2025년 3월 2일부터 2026년 4월 11일 사이에 접수된 주문에 걸쳐 있었고, 유출된 정보에는 고객 이름, 이메일 주소, 배송지 주소, 전화번호, 구매 관련 세부 정보가 포함됐다.
유출되지 않은 것들
세이프팔은 공식 블로그에 게시한 보안 업데이트에서 시드 문구, 개인키, 지갑 비밀번호, 결제 정보, 정부 발급 신분증은 이번 사고의 영향을 받지 않았으며, 공격자가 고객의 암호화폐 지갑이나 자금에 접근했다는 증거는 발견되지 않았다고 밝혔다. 하드웨어 지갑 제조사에게 이 차이는 단순한 불편과 자금 탈취 참사를 가르는 결정적인 선이다. 유출된 정보로 인해 표적형 피싱 시도에 노출될 수는 있지만, 이번 결함 자체를 통한 직접적인 자산 탈취로는 이어지지 않는다는 뜻이다.
같이 보면 좋은 기사: 토큰화 주식 보유자 131만 명으로 2배 급증…거래량 179% 폭증
대응과 고지
회사는 취약점을 패치하고 추가 보안 조치를 도입했으며, 영향을 받은 모든 고객에게 이메일로 개별 통지했다고 밝혔다. 세이프팔은 또한 독립된 제3자 보안 업체를 투입해 수정 사항을 감사하고 향후 주문 처리 방식 전반을 점검하도록 했다.
하드웨어 지갑 제조사들의 반복되는 리스크
이번 사고는 암호화폐 하드웨어 지갑 기업들이 서로 다른 두 종류의 보안 리스크를 함께 안고 있다는 사실을 다시 한번 일깨운다. 하나는 기기 자체의 암호학적 무결성이고, 다른 하나는 그 주변을 둘러싼 평범한 이커머스 인프라, 즉 주문 조회, 배송, 고객지원 도구다. 세이프팔의 핵심 지갑 보안 자체는 뚫리지 않은 것으로 보이지만, 이번 유출로 공격자들은 실명과 배송지 주소가 하드웨어 지갑 보유 사실과 직접 연결된 명단을 손에 넣게 됐다. 이런 정보는 업계에서 실제 주문 내역을 언급하며 가짜 고객지원 전화나 피싱 이메일로 피해자를 노리는 데 이미 활용된 전례가 있다.
