키스톤 보안 침해 심화: 해커가 지갑 진위 여부를 검증하는 키 탈취
Tapbit Wire하드웨어 지갑 제조사 키스톤은 지난주 자사 웹사이트가 해킹된 데 이어, 장치 진위 검증에 쓰이는 키도 유출됐다고 밝혔다. 이는 초기 고객 데이터 유출로 알려졌던 사고의 범위를 확대시킨다.
키스톤은 월요일 성명에서 유출된 인증 키로 공격자가 진위 검증을 통과하는 위조 지갑을 제작할 수 있다고 밝혔다.
“이러한 장치는 고객에게 판매되거나 배송될 수 있으며, 구매자는 이를 진품으로 오인해 사용함으로써 자산 도난 위험이 발생할 수 있다.”
이번 사고는 올해 하드웨어 지갑 제조사들을 겨냥한 일련의 공격 중 하나이다.
이달 초 레저는 동남아시아 및 홍콩 지역 유통업체에 대해, 회수 문구를 탈취할 수 있는 무단 임플란트가 포함된 장치 판매를 즉시 중단하라고 요청했다.
지난 7월 말 콜드카드 제조사 코인카이트는 버그 악용으로 장치가 의도보다 낮은 엔트로피로 지갑 시드를 생성해 수백만 달러 상당 암호화폐가 유출된 사실을 확인하고 사용자에게 경고했다.
키스톤, 기존 키 적용 장치 18,000대 이상 폐기 예정
최신 업데이트에서 키스톤은 공격자가 자사 웹사이트에서 사용하던 제3자 모니터링 도구의 취약점을 악용해 권한 상승을 시도했다고 밝혔다.
“이를 통해 공격자는 일부 고객 정보와 장치 진위 검증용 키를 획득했다.”
키스톤은 유출된 키가 적용된 재고 장치 18,835대를 폐기할 계획이며, 해당 키를 사용하는 모든 장치 출하를 일시 중단했다.
회사는 새로운 인증 키로 제작된 장치 생산이 시작되면 출하를 재개할 예정이다.
키스톤은 10월 20일 사고 이전에 제조·배송된 장치는 안전하며 진위 검증 기능도 신뢰할 수 있다고 밝혔다.
다만, 해당 일 이후 배송된 장치의 진위 여부는 보장할 수 없으며, 영향을 받은 고객은 추가 확인을 위해 지원팀에 연락해 줄 것을 당부했다.
키스톤, 구매자 정보 25,964건 유출 확인
키스톤은 고객 데이터 유출 규모도 공개하며, 자사 웹사이트 쇼피파이 스토어에서 총 51,083건의 구매자 기록이 생성됐다고 밝혔다.
이 중 25,119건은 180일 데이터 보관 정책에 따라 이미 삭제됐다.
그러나 2024년부터 2026년까지의 남은 25,964건 기록이 공격자에 의해 유출되었을 가능성 있다. 키스톤은 자동화된 대량 데이터 삭제 도구의 오류로 인해 이전 기록들이 삭제되지 않았다고 밝혔다.
“해당 도구가 신뢰성 있게 작동하지 않았고, 일부 삭제 작업이 실패했으나, 우리는 이를 제때 탐지하고 조치하지 못해 특정 개인정보가 허용 기간을 초과해 보관되었다”고 키스톤은 밝혔다.
또한 공격자가 쇼피파이가 보관 중인 12,873건의 고객 결제 정보(미완료 구매 관련)에도 접근했을 가능성이 있다.
키스톤은 쇼피파이에 연락해 30일 이상 보관된 결제 기록의 개인정보 삭제를 요청했다.
이 사건은 2020년 6월 레저에서 발생한 데이터 유출 사고를 떠올리게 한다. 당시 100만 개 이상의 이메일 주소와 고객 이름, 전화번호, 실제 주소가 노출됐다. 유출된 정보는 수년간 피해 사용자들을 겨냥한 피싱 시도의 원인이 되었다.
이번 해 다른 하드웨어 지갑 제조사들도 고객 정보 및 제3자 서비스 관련 유출 사고를 겪었다.
8월, 트레조는 운송 파트너사의 유출 사고를 공개했는데, 이로 인해 고객 정보가 유출되었으며, 9월에는 영향을 받은 사용자 수가 8만 명을 넘었다.
세이프팔은 8월 주문 추적 취약점을 보고해 약 4만 명 고객의 데이터가 유출됐고, 비트박스는 9월 제3자 이메일 제공업체 해킹으로 인한 피싱 공격 대상이 되었다.
잡지: 비트코인 보관을 위한 레저 대체 5가지
