키스톤 지갑 고객정보 유출…'180일 뒤 삭제' 약속 지켰나
하드웨어 지갑 제조사 키스톤(Keystone)의 온라인 상점에서 고객 이름·주소·주문 내역이 빠져나갔다. 회사는 복구 문구와 개인키는 안전하다고 밝혔지만, 배송 정보를 180일 뒤 지운다던 약속과 달리 오래된 구매자까지 통지를 받았다는 주장이 나오면서 논란이 커지고 있다.
홍콩의 하드웨어 지갑 제조사 키스톤(Keystone)이 온라인 상점 해킹으로 고객 개인정보가 유출됐다고 공개했다. 지갑 기기와 개인키는 건드려지지 않았다는 것이 회사 설명이다. 그러나 25일(현지시간) 삭제됐어야 할 오래된 주문 정보까지 유출됐다는 고객 주장이 나오면서, 사고는 보안 문제를 넘어 데이터 관리 약속의 신뢰 문제로 번지고 있다.
무슨 일이 있었나
비트코인닷컴과 더블록 보도를 종합하면 키스톤은 20일 공식 웹사이트에서 수상한 접속을 처음 감지했다. 이후 전자상거래 플랫폼 쇼피파이(Shopify)와 API 기록을 대조한 끝에 23일 외부인이 고객 정보를 가져간 사실을 확인했다. 공개 발표는 24일 오후(미 동부시간) 엑스(X)를 통해 이뤄졌다.
유출된 정보는 고객 이름, 연락처, 배송지 주소, 구매 품목과 가격 같은 주문 내역이다. 키스톤은 카드·계좌 정보와 복구 문구, 개인키, 지갑 비밀번호는 노출되지 않았다고 밝혔다. 침입 경로는 차단했고 취약점도 고쳤으며, 피해 고객에게 이메일을 보내고 있다고 했다. 다만 피해 규모와 침입 방식은 아직 공개하지 않았다. 상세 보고서는 며칠 안에 내겠다는 입장이다.
논란은 다음 날 불거졌다. 키스톤은 올해 1월부터 여러 차례 주문 후 180일이 지나면 배송 정보를 영구 삭제한다고 홍보해왔다. 경쟁사가 고객 정보를 계속 보관하는 것과 다르다는 점을 내세운 것이다. 그런데 2년 전에 제품을 샀다는 이용자, 마지막 주문 후 214일이 지났다는 이용자가 유출 통지를 받았다고 밝혔다. 2024년 주문 정보를 알고 있는 사람에게서 사칭 전화를 받았다는 주장도 나왔다. 더블록은 이 주장들을 독자적으로 확인하지는 못했다고 전했다.
논점
먼저 회사 측 입장에 설 여지가 있다. 키스톤의 도움말 문서에는 고객의 도시·국가 기록은 지우지 않으며, 최종 삭제 처리는 쇼피파이가 맡는다는 설명이 있다. 개인정보처리방침의 표현도 '마지막 주문 뒤 180일 동안 추가 주문이 없는 고객'을 기준으로 해, 홍보 문구와 결이 다르다. 삭제가 외부 플랫폼에서 늦어졌을 가능성도 배제할 수 없다.
반대편에서는 바로 그 불일치가 문제라고 본다. '데이터를 지운다'는 약속을 마케팅에 썼다면, 실제로 지워졌는지 검증할 책임도 회사에 있다는 것이다. 하드웨어 지갑 구매 기록은 '이 사람이 코인을 갖고 있다'는 신호이자 집 주소다. 일반 쇼핑몰 유출보다 위험의 무게가 다르다.
업계 전체로 보면 올해만 비슷한 일이 반복됐다. 트레저(Trezor)는 물류업체 쉽몽크(ShipMonk) 해킹으로 약 8만1,000명의 정보가 새어 나갔고, 일부 피해자는 가짜 '지갑 이전' 안내 QR코드가 담긴 우편을 받았다. 렛저(Ledger)는 1월 전자상거래 협력사 글로벌이(Global-e)에서 일어난 유출을 고객에게 통지했다. 기기 자체는 단단해도, 그 주변의 판매·배송망이 계속 뚫리고 있다.
시사점
국내에서도 해외 하드웨어 지갑을 직접 구매하는 투자자가 적지 않다. 키스톤 구매 이력이 있다면 환불, 교체 기기 발송, 배송 확인을 핑계로 한 전화·문자·이메일·우편을 의심해야 한다. 키스톤은 복구 문구나 개인키를 요구하지 않으며, 직접 주문하지 않은 기기에 복구 문구를 입력하지 말라고 당부했다.
관전 포인트는 키스톤이 내놓을 상세 보고서다. 피해 고객 수와 함께, 180일이 지난 고객 정보가 왜 남아 있었는지에 대한 설명이 담기는지가 핵심이다. 이 답에 따라 '정보를 덜 보관하는 것'을 경쟁력으로 내세운 업체들의 약속이 실제로 검증받는 계기가 될 수 있다.
본 기사는 정보 제공 목적이며 투자 권유가 아닙니다.
참고