트레조르의 80,000명의 계정 유출은 삭제를 약속한 것이 아니라, 실패한 시스템에 불과했습니다.

8월 13일, 트레조르는 말했다13,689명의 고객그들의 개인정보가 운송 파트너를 통해 유출되었습니다. 6주 후, 그 수는 훨씬 더 많아졌습니다. 한 리뷰에서 그 사실이 밝혀졌습니다.67,000명의 미국 고객이 더 추가됨그리고 알려진 총 수는 80,000을 넘었습니다. 새로 발견된 기록들은 새로운 주문이 아니었습니다. 그 기록들은 과거의 것들이었습니다.2019년 11월부터 2021년 8월까지트레조르는 고객 데이터가 삭제된 것으로 생각했지만, 실제로는 공급업체의 시스템에 여전히 존재하고 있었습니다.

이것은 회사가 공개한 내용이며, 그 등급도 함께 명시되어 있습니다. 이는 자체 보고된 사건 사례일 뿐, 독립적인 조사 결과는 아닙니다. 따라서 수치들도 트레조르가 말한 대로입니다. 트레조르의 유통 파트너인 ShipMonk는 데이터 분석 도구인 메타베이스에 존재하는 알려지지 않았던 SQL 인젝션 취약점을 통해 공격을 받았습니다.메타베이스는 8월 6일경에 쉬프몽크에게 알렸습니다.그 취약점을 수정했으며, 관련 세션들도 무효화되었습니다. 노출된 정보에는 이름, 이메일 주소, 전화번호, 배송 주소, 주문 번호 등이 있었습니다. 반면, 트레조르의 설명에 따르면, 개인 키나 월렛 백업, 그리고 장치 자체에 대한 정보는 누출되지 않았습니다.

마지막 문장은 헤드라인들이 간과하는 중요한 점이며, 이는 이 이야기의 핵심 내용입니다. 숫자가 계속 증가하는 이유는 삭제에 대한 약속이 깨진 것 때문이지, 암호화 기술에 문제가 있는 것이 아닙니다. 트레조르는 자신들이 제대로 작동한다고 말합니다.90일 기간의 데이터 보존 정책그것을 구체적인 계약 형태로 전환시키고, ShipMonk에게 더 오래된 기록들을 삭제해달라고 요청했습니다.데이터가 사라졌다는 서면 확인을 받았습니다.2019년의 기록들은 어쨌든 그대로 남아 있었습니다. 삭제해야 한다고 약속했음에도 실제로 삭제하지 않은 판매업체가 있다면, 이러한 “제한된” 침해 사고가 80,000명에 달하는 대규모 사고로 확산될 수 있습니다.

범죄의 정도를 평가하는 것이 중요합니다. 2026년은 하드웨어 월렛에 있어서 정말 나쁜 해였습니다. 그냥 “모두 실패했다”고 생각하면서 그 상황을 간단히 받아들이면, 실제로 위험에 처한 돈이 어디인지 알 수 없습니다. 서로 몇 주 사이에 발생한 세 가지 사건을 비교해보세요.

• 콜드카드 (자금 손실).2021년 3월에 발생한 펌웨어 버그일부 장치에서 128비트에서 40비트로 줄어들면서 씨앗의 무작위성이 약화됩니다. 2026년 7월 30일경부터 시작됩니다.1,816 비트코인 – 약 1억 1,600만 달러4번의 단계에 걸쳐 5,200개 이상의 주소에서 데이터가 도난당했습니다. 여기서 키 자체도 손상되었고, 그 자산도 도난당했습니다.
• SafePal (데이터가 노출되었지만 자금은 안전합니다).8월 16일에 발표된 바에 따르면, 주문 추적 플러그인에 있는 결함으로 인해 주문 정보가 노출되고 있습니다.39,798명의 고객SafePal은 지갑, 시드 문구, 개인 키가 안전하게 유지된다고 확인했습니다.
• 트레조르: 데이터는 공개되었지만 자금은 안전합니다.ShipMonk/SQL-인젝션 공격으로 인해 현재 80,000명 이상이 피해를 입었습니다. 키와 장치들은 아무런 손상도 없었습니다.

세 줄의 내용을 하나의 사건으로 생각해보면, 결론은 “하드웨어 월렛은 안전하지 않다”는 것입니다. 실제로 어떤 정보가 유출되었는지에 따라 그 결과가 달라집니다. 돈이 손실된 유일한 경우는 키 생성 과정에서 문제가 발생한 경우입니다. 아무도 돈을 잃지 않은 두 경우는 데이터 유출 사례입니다. 즉, 월렛은 설계된 대로 정상적으로 작동했으며, 데이터 유출은 물류 및 분석 업체를 거쳐서 발생한 것이지, 실제 소프트웨어 자체에서 발생한 것이 아닙니다.

그렇다면 트레조르 해킹으로 인해 실제로 무엇이 변했을까요? 신원 확인 테스트를 적용해 보세요. 해킹이 발생하기 전에는 트레조르를 구입하는 사람은 단순히 장치를 소유한 사람에 불과했습니다. 하지만 그 후로는 그 사람이 주소와 전화번호, 주문 번호 등을 가진 합법적인 암호화폐 보유자가 되었습니다. 이제 공격의 대상은 장치가 아니라 개인 자신이 됩니다. 피싱 이메일과 전화, 가짜 지원 사이트, 그리고 진짜처럼 보이는 정보들이 그 사람을 공격할 수 있습니다. 이것이 바로 문제입니다. 귀하의 계정 잔액은 변하지 않았습니다. 하지만 귀하의 신원과 부주의함이 실제로 공격의 대상이 되었습니다. 추적 번호와 주소가 있으면, 특정인에게 보내는 메시지가 그 사람이 믿을 만한 정보가 됩니다.

투자자에게는 더 어려운 질문은 이것이 그 기업에 어떤 영향을 미치는지입니다. 솔직히 말해서, 이를 직접 소유할 수 있는 방법은 없습니다. 트레조르는 사토시랩스라는 개인 소유의 체코 회사이며, 그 주요 경쟁업체인 레저도 역시 개인 소유입니다. 이 회사의 주식을 거래할 수 있는 통화 코드도 없으며, 이 점이 바로 중요한 점입니다. 즉, 이 사업에 참여하는 것은 자신이 선택한 하드웨어와 프로토콜을 사용하여 자가 보관하는 것이지, 주식 자산을 소유하는 것이 아닙니다. 업계의 상황을 고려해보면, 하드웨어 월렛 시장은 대체로…2026년에는 7.2억 달러가 됩니다.2031년까지는 22.5억 달러에 달할 것으로 예상됩니다.25.6% 연평균 성장률FTX 이후의 자체 관리 방식과 MiCA 규정 제정과 같은 추세를 보이는 드라이버들로 인해, 이렇게 빠르게 성장하는 시장에서는 평판이 중요한 요소가 됩니다. 이는 트레조르가 제3자에게 정보를 공개하는 사례가 세 번째입니다.2022년의 사건에서 약 106,856명의 고객이 피해를 입었으며, 2024년의 지원 포털 침해 사건에서는 최대 66,000개의 이름과 이메일이 유출되었습니다.매번, 지갑 자체가 그대로 남아 있었습니다. 매번, 신뢰 문제도 더욱 심각해졌습니다.

트레조르의 답변은 분명합니다. 그들은 “익명 배송” 시스템을 도입하고 있습니다. 즉, 수동으로 인출할 필요 없이, 중립적인 포장 방식을 사용하며, 배송 후에는 운송 정보가 자동으로 삭제됩니다.유럽에서의 출시는 2026년 9월로 예정되어 있으며, 미국에서는 그해 말에 배포될 예정입니다.이는 관리자가 스스로 통제할 수 없는 한계를 인정하는 것을 의미합니다. 더 이상 제3자에게 약속한 내용을 삭제해달라고 의지할 수 없으므로, 데이터를 원천에서 사라지게 만드는 방식을 선택하는 것입니다. 이는 프로세스의 실패를 해결하기 위한 제품적인 해결책일 뿐입니다. 월렛에 있는 결함을 인정하지 않는 것입니다. 왜냐하면 증거상 그런 결함이 전혀 없었기 때문입니다.

무해한 행위는 별도로 평가받아야 합니다. 어떤 고객의 자금도 이동되지 않았으며, 키도 복구되지 않았습니다. 그리고 계약을 어긴 사람은 판매업체입니다. “삭제하겠다고 약속한 데이터를 그대로 유지했다”는 것은 “돈을 훔친 것”과는 다릅니다. 또한, 명시되지 않은 데이터 보관도 추가 증거가 없다면 사기로 간주될 수 없습니다. 둘 다 존재하지 않는 증거를 필요로 합니다. 이러한 차이는 실제로 존재하지만, 그것은 제품의 핵심 기능과는 관련이 없는 신뢰와 신원 보호에 관한 문제일 뿐입니다.

이것은 이 사건의 핵심을 뒤집는 조건입니다. 내일 발표된 내용에 따르면, 트레조르 장치의 키 자체가 약해진 경우가 있다면—코튼카드의 무작위성과 마찬가지로—이제는 신분 유출 문제가 아니라 자금 손실 문제가 되고, 상황도 완전히 바뀝니다. 그 사실이 밝혀지기 전까지는 이를 데이터 유출 사건으로 간주해야 합니다. 확인할 수 있는 정보는 기록된 날짜(2019–2021년), 공급업체의 삭제 약속, 그리고 키가 장치에서 나오지 않았다는 사실입니다. 트레조르를 소유한 소매 투자자에게 중요한 질문은 “이 하드웨어를 믿을 수 있는가?”가 아닙니다. 그런 증거는 없습니다. 중요한 질문은 “어떤 권한을 공급업체에 주었는가? 그리고 어떻게 그 사실을 알 수 있는가?”입니다. 두 번째 질문에 대한 답변은 이제 공개적으로 제시되었으며, 그 대가로 80,000명 이상의 사람들의 주소가 노출되었습니다.