키스톤, 하드웨어 지갑 인증에 쓰이는 키 해커가 탈취했다고 밝혀

하드웨어 지갑 제조사 키스톤(Keystone)은 지난주 자사 웹사이트를 침해한 공격자가 키스톤 기기를 인증하는 데 쓰이는 키도 훔쳤다고 밝혔다. 키스톤은 처음에는 이번 사건을 고객 정보 유출로 공개했다. 키스톤은 월요일 성명에서 도난당한 키를 이용하면 공격자가 진품 여부 확인을 통과하는 위조 지갑을 만들 수 있다고 밝혔다. 키스톤은 고객들이 위조 기기를 구매하거나 받게 되고, 이를 모른 채 사용할 경우 자산을 도난당할 수 있다고 경고했다.

키스톤은 공격자가 자사 웹사이트에 배포된 외부 모니터링 도구의 취약점을 악용해 높은 권한을 얻었다고 밝혔다. 키스톤은 이 접근 권한으로 공격자가 고객 정보와 인증 키를 훔쳤다고 말했다.

키스톤은 재고로 보유한 기기 1만8,835대에 유출된 키가 들어 있어 이를 폐기할 계획이다. 키스톤은 해당 키를 사용하는 모든 기기의 생산·출하를 중단했다고 밝혔다. 대체 인증 키를 사용한 생산이 시작되면 출하를 재개할 예정이다. 키스톤은 10월 20일 사건 이전에 제조돼 배송된 기기는 안전한 것으로 간주해야 하며, 진위 확인도 계속 신뢰할 수 있다고 밝혔다. 그러나 10월 20일 이후 배송된 기기의 진위는 보장할 수 없다며, 영향을 받은 고객에게 추가 검증을 위해 키스톤 고객 지원팀에 연락하라고 촉구했다.

키스톤은 자사 웹사이트의 쇼피파이(Shopify) 스토어에서 구매자 기록 5만1,083건이 생성됐다고 밝혔다. 키스톤은 180일이 지나면 삭제하도록 한 정책에 따라 기록 2만5,119건이 삭제됐다고 말했다. 공격자는 2024년부터 2026년까지의 나머지 기록 2만5,964건을 훔쳤다. 키스톤은 오래된 기록이 남은 원인으로 자동 일괄 삭제 도구의 오류를 들었다. 키스톤은 삭제 작업이 실패한 사실을 제때 파악하고 바로잡지 못해 일부 개인정보가 허용 기간을 넘겨 저장됐다고 밝혔다.

공격자는 고객이 구매를 완료하지 않아 쇼피파이가 보관하고 있던 고객 결제 기록 1만2,873건도 훔쳤다. 키스톤은 쇼피파이에 30일을 넘겨 보관된 결제 기록의 개인정보를 삭제해 달라고 요청했다고 밝혔다.

이번 침해는 올해 다른 하드웨어 지갑 제조사들을 겨냥한 공격에 이어 발생했다. 이달 초 레저(Ledger)는 동남아시아와 홍콩에서 판매된 기기에 무단 장치가 삽입됐다는 보도가 나온 뒤 해당 지역의 재판매업체들에 판매를 중단해 달라고 요청했다. 보도된 장치는 복구 문구를 포착할 수 있었다. 7월 말 콜드카드 제조사 코인카이트(Coinkite)는 공격자들이 자사 기기에서 생성한 지갑 시드의 엔트로피를 낮추는 버그를 악용한 뒤 이용자들에게 경고했다. 이 공격으로 수백만 달러 규모의 암호화폐가 도난당했다.

2020년 6월 레저에서 발생한 침해로 이메일 주소 100만 개 이상과 고객 이름, 전화번호, 집 주소가 유출됐다. 유출된 데이터는 이후 수년간 피해 이용자를 겨냥한 피싱 시도에 악용됐다. 8월에는 트레저(Trezor)가 배송 협력업체에서 발생한 침해로 고객 정보가 노출됐다고 밝혔다. 피해를 본 트레저 이용자는 9월 8만 명을 넘어섰다. 세이프팔(SafePal)은 8월 주문 추적 취약점으로 고객 4만 명 가까이의 정보가 노출됐다고 밝혔다. 비트박스(BitBox)는 9월 외부 이메일 제공업체의 침해와 관련된 피싱 공격을 받았다.