트레조르의 피싱 공격은 금고가 아니라 공급업체를 겨냥했습니다. 이것이 바로 투자에 대한 교훈입니다.

수요일 늦은 오후에, 이메일이 도착했습니다.347,000개의 이메일 수신함그것은 어디서 나온 것 같았습니다.help@trezor.io제목: “심각한 보안 경고: STM32 엔트로피 취약점” 이 메시지는 하드웨어 월렛을 소유한 사람들에게, 그들의 마이크로컨트롤러에 존재하는 결함으로 인해 해커가 그 결함을 이용해 복구 키를 탈취할 수 있다고 알렸습니다. 또한, 링크를 클릭하여 앱을 다운로드해 “업데이트”를 해야 한다고 요청했습니다. 트레조르는 아무런 답변도 하지 않았습니다.그 이메일은 그들로부터 온 것이 아니었습니다.그것은 피싱 공격이었습니다. 그리고 그 공격은 트레조르가 직접 운영하는 사이트와 제3자 이메일 제공업체인 브레보를 통해 전파된 것입니다.

공포가 확산되기 전에, 이 이야기의 각 부분을 평가해보세요. 암호화 시스템의 실패와 공급망 문제는 서로 다릅니다. 올바른 분류를 통해 투자자가 어떤 문제에 대해 걱정해야 하는지 결정할 수 있습니다. 트레조르가 발표한 증거에 따르면, 해당 장치는 안전했으며, 트레조르 월렛이나 계정, 혹은 제품 시스템에는 아무런 문제도 발생하지 않았습니다.– 뉴스레터 전송 시스템만그들 옆에 앉아 있었다.

전시물: 판매자 목록일 뿐, 금고가 아닙니다.

이 사기 행위는 파리에 위치한 이메일 마케팅 플랫폼인 Brevo를 이용했습니다. Trezor은 뉴스레터 전송, 리스트 관리, 수신 거부 기능을 위해 Brevo를 사용합니다. Brevo의 분석 결과에 따르면, 침입자들은 합법적인 사용자의 로그인 정보를 훔쳐서 시스템의 취약점을 이용해 접근 권한을 확대했습니다. 서비스 제공업체는 처음에는 120개의 고객 계정이 피해를 입었다고 발표했지만, 이후 그 수치를 바꾸었습니다.사후 조사 결과, 138개의 계정이 있었으며, 그 중 6개의 계정에서는 피싱 메일을 저장된 연락처들에게 보내는 데 사용되었습니다. 또한 43개의 계정에서도 연락처가 외부로 전송되었습니다.트레조르, 비트박스, 코인트래킹 – 이 세 개의 암호화폐 회사들은 모두 같은 제공업체를 사용하고 있기 때문에, 구독자들이 동일한 공격에 노출되었다고 확인했습니다.

Trezor의 경우, 노출된 표면은 약간의 Opt-in 뉴스레터 데이터베이스였습니다.347,000개의 이메일 주소가 있으며, 이 회사는 이제 그것들이 공격자에게 알려진 정보라고 간주하고 있습니다.트레조르는 자사의 시스템이 무단 접근되지 않았으며, 브레보의 플랫폼에는 비밀번호나 워렛 데이터, 개인 정보가 전혀 없다고 말합니다.

중요한 작동 세부 사항은 응답 시간입니다. 트레조르는 악성 도메인이 20분 이내에 DNS 수준에서 삭제되었다고 말합니다. 그래서 대부분의 사용자들에게는 연결이 작동하지 않았습니다.삭제되기 전까지 약 2,500명이 클릭을 했습니다.트레조르는 추가적인 메일 발송을 중단하기 위해 브레보 계정을 중단시켰으며, 공급업체와의 관계 및 보안 요구사항에 대해 검토 중입니다.

이번은 트레조르 공급업체의 두 번째 침해 사례로, 한 달도 안 되는 기간에 발생한 것입니다. 이에 회사는 대응 방안을 마련했습니다. 8월에는, 트레조르의 물류 서비스 제공업체인 ShipMonk가 사용하는 Metabase 분석 도구의 치명적인 SQL 인젝션 취약점을 공격자가 악용했으며, 한 갱단은 해당 제공업체에게 요구금액을 요구했습니다. 이 침해 사건으로 인해…약 81,000명의 고객이름, 이메일 주소, 전화번호, 배송 주소 등… 총 약 11,700개의 정보가 있습니다.추가로 67,000명의 미국 고객이 있습니다.이메일 문제가 발생하기 일주일 전에 그 사실이 공개되었습니다. 트레조르는 2024년에도 제3자 지원 티켓 시스템이 무단 접근당한 적이 있었습니다.

어떤 판매업체의 위반 행위가 아닌 것

이 사건을 정직하게 분석해보면, 그 이메일에 제시된 위협은 전혀 사실이 아닙니다. 피싱 메시지는 실제적인 기술적 문제를 근거로 만들어졌지만, 실제로는 STM32 마이크로컨트롤러의 취약점 때문에 비밀번호가 노출될 수 있다는 것이었습니다. 하지만 장치의 냉동 저장 방식은 오히려 문제가 되지 않았습니다. 올바르게 작동하는 하드웨어 월렛에서는 복구 비밀번호가 장치 내부에 저장되어 있고, 인터넷을 통해 전송될 일이 없습니다. 따라서 피싱 이메일로는 그 비밀번호를 얻을 수 없습니다. 이메일에서 언급된 취약점은 사실상 장치가 존재하는 목적 자체를 방해하는 요소였습니다.

따라서 여기서 발생하는 실제 손실은 암호학적인 문제가 아니며, 일반적인 의미의 자금 도난도 아닙니다. 이는 신뢰의 가치에 대한 공격입니다. 그리고 그 신뢰의 가치가 바로 하드웨어 월렛 제품의 전체 경제적 기반입니다. 하드웨어 월렛이란, 약 100달러짜리 하드웨어 제품으로, 그 가치는 인터넷이 접근할 수 없는 곳에 키를 보관해 주는 것에 있습니다. 이 제품의 가치는 실리콘 자체가 아니라, 고객들이 회사와 그 관련 장비가 평생을 쏟아낸 저축을 안전하게 보관해 줄 신뢰할 수 있는 존재라고 믿는다는 점입니다.

그래서 공급망이야말로, 칩이 아니라, 이 산업의 진짜 위험 요소입니다. 2026년에 발생할 제3자 관련 문제들은 장치 주변의 여러 요소들에 영향을 미칩니다. 즉, 귀하의 이름과 주소가 기재된 배송 파트너, 귀하의 이메일 계정이 있는 이메일 플랫폼, 귀하의 계정 정보가 저장된 지원 포털 등입니다. 이러한 요소들이 모두 사용자와 그들의 월렛 사이의 가짜 통신을 가능하게 하는 요소들입니다. 범죄자는 암호화를 해제할 필요 없이, 피해자가 가짜 계정에 자신의 정보를 입력하도록 만드는 것이 훨씬 더 저렴한 방법입니다.

소매 투자자가 굳이 신경 쓸 필요가 있는 이유

트레조르는 이 분야의 선구자로서, 소유주인 SatoshiLabs에 의해 사유화된 기업이기 때문에, 주식 코드도 없고 가격도 없습니다. 이 회사의 투자 가치는 현재 공개 시장으로 나아가고 있는 산업군의 기준점이 됩니다. 같은 분야의 대형 경쟁사인 레저는 미국 시장에 상장될 가능성을 고려하여 투자 은행들과 협력하고 있습니다.40억 달러 이상2023년에 승인된 자금 지원 금액인 15억 달러보다 두 배 이상 높은 수준입니다. 하드웨어-월렛 경제가 공개 시장에 도입된다면, 중요한 지표는 단위당 수량이 아니라 신뢰도의 지속성입니다. 즉, 4주 만에 세 번째 제공업체의 보안 문제가 발생했음에도 불구하고, 얼마나 많은 고객들이 플라스틱과 금속으로 만들어진 장치에 자신의 생활비를 저장하는 것이 가치 있다고 생각하는지가 중요합니다.

그래서 이 사건은 유용한 지표가 됩니다. 왜냐하면 두려움을 조장하는 경로는 쉽지만, 증거를 통해 확인되는 경로는 그렇지 않기 때문입니다. 암호화폐 시장에 대한 긍정적인 신호는, 중립적 또는 초기 단계인 상황에서 자금 관리 수요가 증가한다는 점입니다(두려움/탐욕 지수는 56이며, 비트코인 가격은 77,400달러 근처로, 52주 최고치인 약 125,500달러보다 훨씬 낮습니다). 피싱 이메일 때문에 이러한 긍정적인 신호가 사라지는 것은 아닙니다. 공급업체의 반복적인 침해 사례는 신뢰도에 부정적인 영향을 미칩니다. 하지만 그건 물리 법칙이 바뀌는 것이 아니라, 단지 부정적인 요소일 뿐입니다.

중단 조건

이러한 해석을 뒤집을 수 있는 사실은 다음과 같습니다. 만약 이러한 사건들 중 어느 하나로 인해 “복구 씨앗”이나 “개인 키”가 실제로 대규모로 노출된 증거가 나타난다면, 혹은 Trezor가 자사의 시스템이 침해당했다는 사실을 공개해야 한다면, 그때는 “신뢰 보너스가 유지된다”는 주장은 무효가 되고, 그 주장도 연기되는 것이 아니라 바로 무너질 것입니다. Brevo의 공개 정보에서는 그러한 일이 일어났다는 증거가 전혀 없습니다. 장치의 설계는 그대로 유지되었으며, 침해로 인해 드러난 것은 단지 연락 관련 메타데이터와 2,500개의 이메일함에서 발생한 당황스러운 상황에 불과했습니다.

그런 중단 조건이 나타나기 전까지는, 증거에 따르면 그 사건을 단순한 공급업체의 위반 사건으로 처리해야 합니다. 즉, 키와 같은 하드 자산에는 영향을 주지 않으면서 신뢰라는 소프트 자산을 손상시킨 경우입니다. 이러한 구분이 바로 투자에 대한 교훈입니다. 그리고 이는 몇 분 만에 확인할 수 있는 일입니다. Trezor의 공개된 정보를 열어보고, 그들이 무엇을 주장하는지, 무엇을 주장하지 않는지를 살펴보면 됩니다.