코인베이스는 외부 데이터 분석업체 앰플리튜드(Amplitude)와 관련된 사고로 일부 고객의 연락처 정보가 영향을 받았지만, 자사 시스템에 대한 무단 접근이나 고객 자금 피해는 확인되지 않았다고 밝혔습니다. 한국의 가상자산 거래소 빗썸과 금융회사 두 곳도 보안 사고를 공개했습니다. 가상자산이나 수탁 시스템을 직접 탈취하지 않더라도 노출된 개인정보가 표적형 사기와 계정 공격에 악용될 수 있어 주의가 필요합니다.
코인베이스, 영향 고객에 통지…규모는 미공개
코인베이스는 10월 28일 엑스(X)에 올린 글에서 이번 사고가 외부 분석 서비스 업체 앰플리튜드와 관련돼 있으며, 영향 범위는 일부 고객에 한정된다고 밝혔습니다. 회사는 피해 고객과 규제 당국에 통지하고 있지만, 영향을 받은 인원이나 노출된 연락처 정보의 구체적인 종류는 공개하지 않았습니다.
코인베이스는 현재까지 공격자가 자사 시스템에 무단으로 접근했다는 증거를 찾지 못했고, 고객 자금도 안전하다고 설명했습니다. 현재 파악된 내용은 거래소 핵심 시스템이나 고객 자산 침해가 아니라 외부 서비스 단계에서의 정보 노출을 가리킵니다. 다만 정확한 유출 범위는 조사가 더 진행돼야 확인될 전망입니다.
한국 빗썸·대신증권·미래에셋도 보안 사고 공개
한국 금융당국은 수요일 조사에 착수했습니다. 대신증권은 10월 17일 의심스러운 활동을 발견한 뒤 고객 3만8,490명의 개인정보와 금융 관련 정보가 노출된 사실을 확인했다고 밝혔습니다. 노출 정보에는 이름, 이메일 주소, 거주지 주소, 로그인 ID, 은행명과 암호화된 계좌번호 및 전화번호가 포함됐습니다. 회사는 핵심 운영 시스템에 대한 무단 접근이나 정보 악용 사례는 아직 확인되지 않았다고 설명했습니다.
빗썸은 공격자가 내부 직원용 커뮤니케이션 시스템에 접근했다고 밝혔습니다. 관련 정보에는 임직원과 자회사, 사업 파트너가 포함되며, 고객 기록까지 영향을 받았는지는 조사가 진행 중입니다. 금융위원회는 현재까지 지갑 주소나 가상자산을 부정하게 이체하는 데 활용될 수 있는 정보가 유출된 사실은 확인되지 않았다고 밝혔습니다.
미래에셋자산운용은 내부 웹 시스템에 대한 무단 접근을 확인했지만, 투자자 정보와 민감한 금융 기록은 영향을 받지 않았다고 밝혔습니다. 이들 사고 공개 이후 금융당국은 긴급회의를 열고 현장 조사에 나섰습니다. 앞서 한국에서는 금융회사 16곳이 사이버 보안 사고의 영향을 받은 바 있습니다.
자오창펑, 표적형 피싱·SIM 스와핑 위험 경고
바이낸스 창업자 자오창펑(Changpeng Zhao)은 엑스에 같은 날 네 건의 데이터 유출 사고가 있었다고 언급하며, 범죄자들이 고객 정보를 피싱과 SIM 스와핑, 사회공학적 공격에 이용할 수 있다고 경고했습니다. 그는 유출된 주소 정보가 가상자산 보유 정보와 결합되면 투자자가 협박이나 강도 피해를 입을 위험도 커질 수 있다고 지적했습니다.
보안 사고는 거래소에만 국한되지 않았습니다. 올해 이스라엘 가상자산 중개업체 비츠오브골드(Bits of Gold)와 하드웨어 지갑 제조사 트레저(Trezor)에서도 관련 사고가 발생했습니다. 비츠오브골드는 8월 분석 인프라에 대한 무단 접근을 공개했으며, 고객 이름과 연락처, 이스라엘 신분증 번호, 은행 정보, 공개 지갑 주소가 영향을 받았을 가능성이 있다고 밝혔습니다.
트레저의 물류업체 쉽몽크(ShipMonk)에서 발생한 사고로는 고객 이름과 전화번호, 배송 주소가 노출됐습니다. 9월에는 트레저의 이메일 서비스 업체 브레보(Brevo)와 관련된 사고로 마케팅용 이메일 주소 34만7,149개가 반출됐습니다. 이후 일부 이용자에게 지갑 복구 문구를 요구하는 사기 이메일이 발송됐습니다.
자오창펑은 거래소 계정에 별도의 이메일 별칭과 전화번호를 사용하고, 문자메시지 인증 대신 패스키나 하드웨어 보안키를 활용할 것을 권했습니다. 출금 한도를 설정하고 계정 로그인 세션과 API 권한을 주기적으로 확인하는 방법도 언급했습니다. 거래소 고객센터를 사칭해 먼저 연락해 오는 메시지에도 주의해야 합니다. 각 기관이 공개한 피해 범위와 정보 종류는 서로 다르며, 일부 조사는 아직 진행 중입니다.