Trezor 사용자 정보 유출, 구멍은 지갑이 아니라 물류업체에 있었다

Trezor를 구매하는 이유는 개인키를 네트워크에서, 그리고 누구의 시야에서도 벗어나게 하기 위해서다. 하지만 이번에 드러난 건 개인키가 아니라 "누가 이걸 샀는지"와 "어디로 배송됐는지"였다.

Trezor는 배송 협력사인 ShipMonk가 데이터 유출 사건을 겪었으며, 이로 인해 약 1만 4천 명에 달하는 하드웨어 지갑 사용자의 개인정보가 영향을 받았다고 확인했다. 그중 일부에는 실제 수령 주소까지 포함되어 있었다. 다시 말해, 뚫린 건 지갑 펌웨어도 니모닉 저장 방식도 아니라, 택배를 문 앞까지 배달해주는 제3의 물류업체였다는 뜻이다.

하드웨어 지갑을 보유한 사람들에게 이런 정보가 민감한 이유는 계정 비밀번호 때문이 아니라, "주소" 자체가 하나의 단서가 되기 때문이다. 이는 누가 일정량의 암호자산을 보유하고 있을 가능성이 있는지, 그리고 그 사람이 어디에 사는지를 간접적으로 가리킨다. 콜드월렛은 애초에 이런 위험 노출을 최소화하기 위해 설계된 것인데, 물류 단계가 이 모든 보안 체계를 우회해 이름과 주소를 그대로 유출 데이터베이스에 노출시켜 버렸다.

현재 공개된 정보는 여기까지다. 영향을 받은 사용자 수, 유출 경로, 그리고 일부 주소가 노출됐다는 사실 정도다. 유출이 정확히 언제 발생했는지, 그 밖에 어떤 개인정보 항목이 관련됐는지, 그리고 Trezor나 ShipMonk가 앞으로 어떤 대응책을 내놓을지에 대해서는 아직 공식적인 추가 설명이 나오지 않았다.