트레저(Trezor) 배송업체 데이터 유출 확대… 2019년 주문자 포함 美 고객 67,000명 추가 피해

글로벌 대표 하드웨어 지갑 제조사인 트레저(Trezor)의 물류 협력업체 쉽몽크(ShipMonk) 데이터 유출 사고의 피해 범위가 당초 예상보다 대폭 확대되었습니다.

당초 90일 이내 최근 주문 건에 한정된 것으로 알려졌으나, 2019년 11월부터 2021년 8월 사이에 기기를 주문한 미국 고객 약 67,000명의 배송 데이터가 추가로 유출된 사실이 확인되었습니다.

이번 사건의 구체적인 피해 내역과 보안 영향, 그리고 사용자 대처 수칙을 정리해 드립니다.

1. 데이터 유출 규모 및 현황 비교

트레저의 자체 시스템이나 하드웨어 지갑 기기 자체는 안전하지만, 제3자 배송망에 보관되어 있던 고객 개인정보가 대거 노출되었습니다.

구분	1차 공개 (8월 13일)	2차 확대 확인 (추가 발표)
피해 대상 기간	2026년 5월 10일 ~ 8월 8일 (최근 90일 내 주문자)	2019년 11월 ~ 2021년 8월 주문자
피해 규모	전체 노출 11,742명 / 부분 노출 1,947명 (총 13,689명)	미국 고객 약 67,000명 추가 확인
유출된 정보 항목	이름, 이메일, 전화번호, 배송 주소, 주문 번호	이름, 이메일, 전화번호, 배송 주소, 주문 번호 동일
발생 원인 인프라	제3자 물류 파트너 ShipMonk 내부 데이터베이스 침해	90일 후 폐기 약정에도 불구하고 보존된 과거 백업 데이터

2. “삭제 확약에도 남아 있었다”… 계약 위반 논란

이번 확대 조사 결과는 트레저의 데이터 보존 정책과 정면으로 배치되어 파장이 일고 있습니다.

• 엄격한 90일 보존 원칙: 트레저는 반품 및 교환 처리가 끝나는 배송 완료 후 90일이 지나면 고객 개인정보를 즉시 영구 삭제하거나 익명화하는 정책을 적용해 왔습니다.
• 물류 파트너의 미이행: ShipMonk는 해당 정책에 따라 오래된 배송 데이터가 삭제되었다는 서면 확약을 수차례 제공했으나, 시스템 내부에는 수년 전인 2019~2021년 데이터가 삭제되지 않은 채 그대로 남아 있던 것으로 드러났습니다.

3. 지갑 기기는 안전… 그러나 ‘초정밀 표적 피싱’ 위험 경보

보안 침해는 하드웨어 지갑의 펌웨어, 보안 칩, 개인 키와는 전혀 무관하며, 사용자의 자산과 프라이빗 키는 온전히 보호되고 있습니다.

하지만 실물 주소와 전화번호가 노출된 만큼 정교한 사회공학적 해킹 공격에 각별한 주의가 요구됩니다.

• 트레저/거래소 사칭 피싱: “지갑 펌웨어 긴급 업데이트 필요”, “데이터 유출에 따른 시드 구문 검증” 등의 허위 명목으로 가짜 웹사이트 링크를 보내 복구 문구 입력을 유도하는 이메일·SMS가 급증할 수 있습니다.
• 물리적 우편물 사칭 사기: 집 주소로 위조된 하드웨어 기기 교체 안내문이나 악성 USB가 배송되는 형태의 오프라인 표적 공격 가능성에 유의해야 합니다.
• 익명 배송(Anonymous Delivery) 도입 가속화: 트레저는 개인정보 노출 위험을 원천 차단하기 위해 무지 포장, 수령 보관함(Locker) 지원, 배송 후 식별 데이터 즉시 자동 폐기 등을 포함한 익명 배송 옵션 도입을 앞당기겠다고 밝혔습니다.

4. 트레저 이용자가 취해야 할 3대 필수 보안 수칙

1. 복구 문구(시드 구문) 절대 입력 금지: 그 어떤 공식 지원팀이나 보안 안내문도 사용자의 12/24개 복구 단어를 입력하도록 요구하지 않습니다.
2. 이메일·문자 내 링크 클릭 지양: 트레저 관련 알림을 받더라도 문자나 메일 속 링크 대신 공식 홈페이지 주소를 브라우저에 직접 입력해 공지사항을 대조하십시오.
3. 피해 안내 이메일 확인: 이번 유출 피해 대상자에게는 트레저 공식 발신 주소(help@trezor.io)를 통해 직접 개별 통지가 진행되었으므로 수신 여부를 확인하시기 바랍니다.

⚠️ 유의사항

본 포스팅은 글로벌 보안 및 가상자산 인프라 소식을 알리기 위한 정보 제공용 글이며, 특정 금융 상품이나 가상자산에 대한 투자 권유가 아닙니다. 하드웨어 지갑 이용 시 시드 구문 보호 등 개인 보안 수칙을 각별히 준수하시기 바랍니다.