이스라엘 최대 암호화폐 브로커 비츠오브골드(Bits of Gold)가 대규모 고객정보 유출 사고를 공개했다. 회사는 8월 16일(현지시각) 해커가 외부 데이터 분석 시스템에 무단 접근해 고객 개인정보를 빼갔다고 밝혔다. 영향을 받은 고객은 약 20만 명으로 추정된다. 다만 회사는 자금과 암호화폐, 비밀번호, 개인키는 이번 공격으로 노출되지 않았다고 강조했다. 이번 사고는 최근 일주일 새 암호화폐 업계에서 잇따라 터진 세 번째 데이터 유출이다.

이름·계좌·지갑주소까지 샜다…자금은 지켜졌다

비츠오브골드에 따르면 이번 공격으로 노출된 정보는 고객 이름, 신분증번호, 이메일, 전화번호, IP주소, 은행 계좌정보, 공개 암호화폐 지갑주소 등이다. 이스라엘 매체 칼칼리스트(Calcalist)는 공개 지갑주소가 전통 금융권의 계좌번호나 이메일 주소와 비슷한 성격의 정보라고 설명했다. 반면 자금과 암호화폐 자산, 로그인 비밀번호, 신용카드번호와 CVV코드, 스캔된 신분증 사본은 유출되지 않았다고 회사는 밝혔다. 현재까지 유출된 정보가 실제 사기에 활용된 정황은 확인되지 않았다.

문제는 유출된 정보의 조합이 정교한 사기에 쓰일 수 있다는 점이다. 칼칼리스트는 이름과 전화번호, 이메일 주소에 암호화폐 거래 계정을 보유하고 있다는 사실까지 결합되면 공격자가 매우 그럴듯한 메시지나 전화를 만들어낼 수 있다고 지적했다. 비츠오브골드 직원이나 은행, 정부기관, 수사기관을 사칭하는 방식이다. 최근 확산한 AI 도구는 이런 공격을 더 정교하고 대규모로 만드는 요인으로 꼽힌다. 회사는 고객에게 자금을 옮길 필요는 없지만 의심스러운 링크를 클릭하거나 인증코드·일회용 비밀번호·개인키를 알려주지 말라고 당부했다. 비츠오브골드 명의로 연락해 이런 정보를 요구하는 일은 없다고도 강조했다.

배후는 메타베이스 취약점…직접 뚫린 건 아니다

비츠오브골드는 직접 해킹당한 게 아니다. 칼칼리스트에 따르면 이번 사고는 여러 기업에 분석·사용자 행동 서비스를 제공하는 국제 소프트웨어 업체 메타베이스(Metabase)에서 시작됐다. 공격자는 비츠오브골드 시스템이 아니라 메타베이스가 제공하는 서비스의 보안 취약점을 파고들었다. 비츠오브골드도 “사고를 감지한 즉시 접근을 차단하고 시스템을 외부로부터 분리해 접근을 종료시켰다”고 밝혔다. 회사는 초기 조사 결과 이번 공격이 다른 여러 기업을 동시에 노린 광범위한 글로벌 사건의 일부였다고 설명했다.

이 사고는 이스라엘 한 곳에 국한되지 않는다. 칼칼리스트는 메타베이스 서비스를 쓰는 기업이 수백 곳에 이를 수 있어 전 세계적인 사건으로 보인다고 전했다. 현재까지 이름이 공개적으로 연결된 이스라엘 기업은 비츠오브골드뿐이지만, 이스라엘 자본시장감독원(Capital Market Authority)과 국가사이버국(National Cyber Directorate)은 같은 취약점에 노출됐을 만한 다른 금융회사가 있는지 조사하고 있다. 앞서 하드웨어 지갑 업체 트레저의 물류 협력사 쉽몽크(ShipMonk)가 겪은 침해도 같은 메타베이스발 공격과 관련이 있는 것으로 알려졌다.

설립 10여년 이스라엘 1호 인가 거래소, 대응은?

비츠오브골드는 2013년 설립돼 이스라엘에서 처음으로 금융서비스제공업체(Financial Services Provider) 인가를 받은 암호화폐 회사다. 칼칼리스트에 따르면 이스라엘 자본시장감독원으로부터 암호화폐 거래 인가를 받은 9개 회사 중 실제 영업을 시작한 첫 회사이기도 하다. 직원은 약 55명, 등록고객은 약 25만 명 수준으로 파악된다. 다만 사건 초기 보도에서는 영향받은 고객 규모가 약 20만 명으로 집계됐는데, 이는 아직 회사가 최종 확정한 수치가 아니다. 최종적으로 어떤 정보가 열람됐는지, 몇 명이 실제 피해를 입었는지, 시스템에서 데이터가 삭제됐는지 여부는 조사가 끝나야 확인될 전망이다.

회사는 사고 인지 후 시스템을 즉시 차단하고 외부 사이버 침해대응 전문업체와 함께 조사에 착수했다. 자본시장감독원을 포함한 관계 당국에도 사고를 신고했다. 거래 서비스는 사고와 무관하게 정상적으로 운영되고 있다고 회사는 밝혔다. 비츠오브골드 최고경영자(CEO) 겸 공동창업자는 유발 루아흐(Youval Rouach)다.

세이프팔·트레저 이어 세 번째…코인 신원정보가 새 타깃

이번 사고는 암호화폐 업계에서 최근 일주일 새 세 번째로 확인된 데이터 유출이다. 일요일에는 지갑 서비스 세이프팔(SafePal) 이용자 약 4만 명의 정보가 외부 협력업체 침해로 유출됐다. 이보다 앞서 8월 13일(현지시각)에는 하드웨어 지갑 업체 트레저 고객 약 1만4000명의 개인정보가 물류 협력사 쉽몽크 침해로 노출된 바 있다.

공통점은 자금이나 지갑 자체가 아니라 주변 소프트웨어 공급망이 뚫렸다는 점이다. 콜드월렛과 인출 통제 같은 핵심 보안 장치는 그동안 많은 투자를 받았지만, 분석 도구나 배송·고객관리 시스템처럼 주변에 있는 소프트웨어는 상대적으로 느슨했다는 지적이 나온다. 칼칼리스트는 제3자 위험이 암호화폐 기업들의 공통 과제라며, 아무리 내부 보안이 튼튼해도 협력업체 한 곳의 취약점이 전체 데이터를 위험에 빠뜨릴 수 있다고 짚었다. 비츠오브골드가 메타베이스를 협력사로 선택한 과정에 특별한 과실이 있었다는 정황은 현재로선 확인되지 않았다. 규제 감독을 받는 정식 인가 거래소라는 점에서, 신뢰를 앞세워온 비츠오브골드로서는 이번 유출이 더 뼈아프다는 평가도 나온다.