하드웨어 지갑 제조사 트레조가 물류·배송 대행업체 ShipMonk에서 발생한 침해 사고로 최근 고객 1만 3,689명의 개인정보와 주문 정보가 노출됐다고 밝혔다. 트레조는 8월 10일, ShipMonk로부터 고객 주문 정보를 보유한 시스템에 대한 무단 접근이 있었다는 보고를 받았다고 전했다.
노출 범위는 고객마다 달랐다. 전체 1만 3,689명 중 1만 1,742명은 이름, 이메일 주소, 전화번호, 배송지 주소까지 모두 노출됐고, 나머지 1,947명은 이름, 거주 도시, 이메일로 노출 범위가 제한적이었다. 이번 침해는 2026년 5월 10일부터 8월 8일 사이 접수된 주문을 대상으로 하며, 영향을 받은 배송지는 미국, 영국, 스웨덴, 콜롬비아, 브라질, 이탈리아, 포르투갈에 걸쳐 있다.
원인은 제3의 벤더에서 시작됐다
이번 침해의 경로는 단순히 물류 파트너 하나를 거쳐 간 게 아니다. 2026년 8월 6일, 분석 서비스 업체 메타베이스는 ShipMonk에 자사 소프트웨어 취약점을 악용한 무단 접근자가 ShipMonk의 고객 계정 데이터에 접근했다고 알렸다. 즉 이번 유출은 트레조 고객 정보에 닿기 전, 두 개의 서로 다른 제3자 벤더를 거쳐 지나간 셈이다. 트레조는 사고의 전체 타임라인과 대응 조치를 자사 공식 사고 공지에서 밝혔다.
지갑·펌웨어는 안전하지만 위험은 여전하다
트레조는 이번 사고가 자사 인프라나 지갑, 펌웨어에는 영향을 미치지 않았으며, 노출된 것은 배송·연락처 정보뿐이라고 강조했다. 하지만 하드웨어 지갑 업체의 고객군에 한정하면 이 정도로도 결코 가벼운 위험이 아니다. 확인된 트레조 구매 이력과 결합된 유출 주소는, 상당한 규모의 암호화폐를 보유하고 있을 것으로 합리적으로 추정되는 사람들을 노리는 공격자들이 정확히 찾는 유형의 신호이기 때문이다. 피싱이든, 우편을 이용한 사기든, 좀 더 직접적인 사회공학 시도든 마찬가지다. 트레조는 2013년 창립 이래 고객의 전화번호와 자택 주소가 노출된 것은 이번이 처음이라고 밝혔다.
같이 보면 좋은 기사: 가짜 하이퍼리퀴드 구글 광고, 사용자 약 55만 달러 탈취
데이터 자체를 없애는 방향의 대응
트레조의 대응은 이번 한 건의 사고를 넘어 근본적인 노출 경로 자체를 겨냥한다. 회사는 2026년 9월까지 유럽연합에서, 연말까지는 미국에서 '익명 배송' 옵션을 도입할 계획이라고 밝혔다. 사물함 수령과, 배송이 완료되면 배송 식별 정보를 자동으로 삭제하는 기능이 포함된다. 앞으로는 어떤 배송 업체에도 식별 가능한 정보가 남지 않도록 하겠다는 접근이다.
