가상자산 지갑 세이프팔, 고객 4만명 개인정보 유출…피싱 주의

가상자산(암호화폐) 하드웨어 지갑 제공업체 세이프팔(SafePal)이 주문 추적 시스템 보안 결함으로 약 4만명에 달하는 고객 개인정보가 외부에 노출됐다고 밝혔다.

16일(현지시간) 가상자산 전문 미디어 더블록에 따르면 세이프팔은 자사 X를 통해 "주문 추적 시스템의 인증 결함으로 인해 약 3만9798명의 고객 개인정보에 무단 접근이 발생했다"고 전했다. 유출된 정보는 고객 이름, 이메일 주소, 배송지 주소, 전화번호, 구매 내역 등이며, 2025년 3월 2일부터 2026년 4월 11일 사이에 주문한 고객이 대상이다.

세이프팔은 "이번 사고로 시드 구문, 개인 키, 지갑 비밀번호 등 지갑 자격증명이나 은행 계좌 정보, 결제 카드 번호, 정부 발급 신분증 번호는 유출되지 않았다"며 "지갑 접근이나 자산이 침해된 증거도 발견되지 않았다"고 밝혔다.

다만 세이프팔은 피해 고객을 대상으로 한 2차 피해 가능성을 경고했다. 공격자들이 세이프팔 직원을 사칭해 펌웨어 업데이트, 환불, 교체 기기 제공 등을 빌미로 지갑 자격증명을 탈취하려 할 수 있다는 설명이다.

세이프팔은 결함이 언제 도입됐는지, 고객 정보가 처음 접근된 시점이 언제인지, 얼마나 많은 공격자가 데이터를 확보했는지는 공개하지 않았다. 더블록의 이메일 질의에도 즉각 응답하지 않았다.

이번 공개 이전에도 피해 정황은 포착됐다. 7월 3일 레딧 게시물에는 한 이용자가 "이름, 주소, 전화번호, 이메일, 구매 내역을 알고 있는 누군가로부터 연락을 받았다"며 'safepal.support'라는 사기 사이트로 유도됐다는 내용이 올라왔다. 세이프팔은 현재까지 관련 사기 사이트 및 피싱 링크 30여 개를 식별해 차단했다고 전했다.

이번 사고는 하드웨어 지갑 업계에서 잇따라 발생한 고객 데이터 유출 사례 중 하나다. 앞서 트레저(Trezor)의 배송 파트너 십몽크(ShipMonk)에서도 약 1만4000명의 고객 정보가 유출됐으며, 레저(Ledger)도 지난 1월 제3자 커머스 업체를 통해 일부 고객 정보가 노출됐다. 각 업체는 지갑 자체와 개인 키는 안전하다는 입장을 밝혔다.