8월 둘째 주, 하드웨어 지갑(콜드월렛) 제조사 두 곳에서 나란히 개인정보 유출 사고 소식이 올라왔습니다. 트레저(Trezor)와 세이프팔(SafePal) — 둘 다 오프라인 보관을 앞세워온 브랜드인데, 정작 뚫린 곳은 지갑 자체가 아니라 배송·주문 관리 시스템이었습니다. 코인텔레그래프와 코인데스크, 포브스 등 외신 보도를 종합해 사고 경위와 이용자가 지금 확인할 사항을 정리해봤습니다.
이 글은 투자 권유가 아니며, 정보 제공 목적으로 작성되었습니다. 투자 판단과 그 결과에 대한 책임은 본인에게 있습니다.
트레저, 배송업체가 뚫리며 1만3,689명 정보 유출
포브스 보도에 따르면 트레저의 물류 파트너 십몽크(ShipMonk)가 해커 그룹 '샤이니헌터스(ShinyHunters)'로부터 SQL 인젝션 공격을 받았습니다. 트레저 측이 이 사실을 통보받은 건 8월 10일 월요일이었다고 하네요. 영향을 받은 대상은 지난 5월 10일부터 8월 8일 사이 미국, 영국, 스웨덴, 콜롬비아, 브라질, 이탈리아, 포르투갈에서 트레저 제품을 받은 고객들입니다.
코인데스크 보도를 보면 규모는 총 13,689명으로, 이 중 이름·이메일·전화번호·배송지 주소까지 전부 노출된 고객이 11,742명, 이름·도시·이메일만 부분적으로 노출된 고객이 1,947명으로 나뉩니다. 더 걱정스러운 대목은 트레저가 이미 이 정보를 악용한 피싱 시도까지 확인했다는 점이에요. 공격자들이 유출된 개인정보를 근거로 이용자에게 접근해 24개 단어로 이뤄진 복구 시드문구를 알아내려 했다고 트레저는 밝혔습니다.
세이프팔, 주문 추적 플러그인 취약점으로 3만9,798명 노출
세이프팔은 트레저보다 나흘 뒤인 8월 16일 자체 사고를 공개했습니다. 더블록(The Block)과 코인데스크 보도에 따르면 원인은 주문 추적에 쓰던 제3자 플러그인의 권한 설정 오류였는데요, 2025년 3월 2일부터 2026년 4월 11일 사이 주문한 고객 약 39,798명의 이름, 이메일, 전화번호, 배송지 주소, 구매 내역이 노출됐다고 합니다.
다행히 세이프팔은 시드문구나 개인키, 지갑 비밀번호 같은 지갑 접근 정보 자체는 이번 유출 범위에 포함되지 않았다고 밝혔습니다. 회사 측은 사고를 확인한 직후 이를 악용한 사칭 사이트와 피싱 링크 30여 개를 찾아 내렸다고 전했습니다.
| 구분 | 트레저(Trezor) | 세이프팔(SafePal) |
|---|---|---|
| 공개 시점 | 2026.8.10 통보 | 2026.8.16 공개 |
| 원인 | 배송사 십몽크 SQL 인젝션 | 주문추적 플러그인 권한오류 |
| 노출 규모 | 13,689명 | 39,798명 |
| 노출 정보 | 이름·이메일·전화·주소 | 이름·이메일·전화·주소·구매내역 |
| 시드문구 노출 | 노출 안 됨(피싱 시도만 확인) | 노출 안 됨 |
유출된 정보로 실제 벌어지는 일 — 가짜 QR코드 편지까지 등장
두 사고를 합치면 노출된 고객만 5만3,487명에 달한다고 포브스는 집계했습니다. 문제는 여기서 끝나지 않더라고요. 유출된 이름과 주소를 이용해 은행이나 거래소, 심지어 트레저를 사칭한 가짜 이메일·전화·우편물이 실제로 발송되고 있다는 보도가 이어지고 있습니다. 과거 레저(Ledger) 고객정보 유출 사고 때처럼, QR코드가 인쇄된 가짜 안내 편지를 보내 스캔을 유도한 뒤 복구 시드문구 입력 화면으로 연결하는 수법도 다시 등장했다고 하네요.
이런 유출 정보는 가짜 에어드랍·보상 안내로 둔갑해 접근하는 경우도 흔합니다. 실제 진행 중인 에어드랍 정보인지 궁금하다면 아래에서 공식적으로 확인해보시는 게 안전합니다.
에어드랍 최신 정보 보기왜 '렌치 공격'까지 걱정해야 하나
이름과 실제 거주지 주소가 함께 새어나갔다는 점이 특히 우려스럽습니다. 온체인 분석업체 첸앨리시스에 따르면 신체적 위협으로 코인을 강탈하는 이른바 '렌치 공격'(감금·강도 등을 동원한 탈취)으로 2026년 상반기에만 약 3천만 달러 규모의 피해가 신고됐고, 이 중 자택 침입 형태가 전체 사건의 37%를 차지할 만큼 늘고 있답니다. 온라인 피싱을 넘어 오프라인 범죄로 번질 수 있다는 게 이번 사고를 가볍게 볼 수 없는 이유죠.
참고로 지난달 저희가 다룬 콜드카드(Coldcard) 이슈는 기기 자체의 펌웨어 취약점이 원인이었던 것과 달리, 이번 트레저·세이프팔 사고는 지갑이 아니라 배송·주문관리 시스템이 뚫린 경우입니다. 원인은 다르지만 이용자가 챙겨야 할 대응 원칙은 비슷합니다.
지금 하드웨어 지갑을 쓰고 있다면 확인할 것들
- 발송 메일의 도메인을 확인하세요. trezor.io, safepal.com 등 공식 도메인이 맞는지 발신 주소를 직접 확인해야 합니다.
- 낯선 QR코드가 담긴 우편물·이메일은 스캔하지 마세요. 궁금하면 공식 앱이나 홈페이지에서 직접 사고 공지를 재확인하는 게 안전합니다.
- 24개 단어 복구 시드문구는 어떤 화면에도, 어떤 상담원에게도 알려주지 마세요. 정식 고객지원팀은 시드문구를 요구하지 않습니다.
- SNS나 커뮤니티에 지갑 보유 사실, 실거주지를 특정할 수 있는 정보를 남기지 않는 게 좋습니다.
- 여유가 된다면 패스프레이즈(25번째 단어) 기능이나 멀티시그 구조도 함께 검토해보세요.
개인키·시드문구를 요구하는 이벤트는 절대 참여하지 마세요. 공식 채널(공식 홈페이지, 공식 SNS)을 반드시 재확인해야 안전합니다.
거래소 이벤트 모아보기마무리
하드웨어 지갑은 여전히 온라인 해킹으로부터 자산을 지키는 효과적인 방법입니다. 다만 이번 사고들이 보여주듯, 지갑 자체뿐 아니라 그 주변의 배송·고객관리 시스템까지 함께 안전해야 진짜 안전하다고 할 수 있을 것 같습니다. 최근 몇 달 사이 트레저나 세이프팔에서 제품을 받으셨다면, 지금 바로 각 사의 공식 공지사항 페이지에서 본인이 유출 대상에 포함되는지부터 확인해보시길 권합니다.
출처
- Cointelegraph, "Data of 54K Wallet Users Leaked, Clarity Odds Just 10%: Hodler's Digest, Aug. 16" — cointelegraph.com
- Forbes, "'Fraudulent Letters'—Trezor, SafePal Warning As 53,487 Owners Exposed" — forbes.com
- CoinDesk, "Third-party breach exposes shipping addresses of 14,000 Trezor buyers" — coindesk.com
- CoinDesk, "Safepal security vulnerability exposes data of 39,798 customers" — coindesk.com
- The Block, "Wallet provider SafePal says data breach exposed personal info of nearly 40,000 customers" — theblock.co