27 읽음
빗썸, 코인베이스 등 정보 유출, 개인정보 보안 주의 당부
위키트리
0
코인베이스의 분석 협력사 앰플리튜드(Amplitude)에서 보안 사고가 터졌고, 국내 거래소 빗썸은 내부 모바일 그룹웨어가 외부 침입을 받아 개인정보가 유출됐다. 같은 날 한국 금융사 두 곳도 유출 사실을 알렸다. 바이낸스 창업자 창펑 자오(CZ)는 28일(현지시각) 이 네 건을 X에 나란히 올렸다.
고객 자금이 직접 털렸다는 보고는 아직 없다. 하지만 이름·이메일·전화번호 같은 연락처가 새면 피싱과 사칭에 쓰일 수 있다. 소스를 종합해 사건별 상황과 이용자 대응법을 정리했다.
연합뉴스 보도를 인용한 코인텔레그래프에 따르면 빗썸은 직원들이 내부 소통에 쓰는 모바일 시스템이 해킹된 사실을 화요일에 발견했다. 빗썸은 당일 한국인터넷진흥원과 개인정보보호위원회에 신고했다. 디크립트는 외부의 허가받지 않은 제3자가 내부 모바일 그룹웨어에 접근해 개인정보가 새어 나갔다고 전했다.
회원 정보가 포함됐는지는 조사 중이다. 빗썸은 연합뉴스에 “회원 정보가 연루됐을 가능성을 포함해 정확한 범위를 분석하고 있다”고 밝혔다. 이어 “내부 업무 시스템은 가상자산 거래 시스템과 분리돼 있어 침해로 고객 가상자산에는 접근할 수 없다”고 설명했다. 다만 한 업계 관계자는 연합뉴스에 빗썸 고객의 개인정보 일부가 실제로 유출됐다고 말했다.
침투 경로는 공개되지 않았다. 과학기술정보통신부와 한국인터넷진흥원은 최근 공개된 PHP(웹 서버 개발에 널리 쓰이는 프로그래밍 언어) 취약점을 점검하라고 웹사이트 운영자들에게 당부했다. 이 취약점은 로그인 없이 서버에서 명령을 실행하게 해 준다.
빗썸은 국내 2위 거래소이며 올해 악재가 이어졌다. 2월에는 소액 현금 보상을 주는 이벤트에서 이용자 695명에게 총 62만 BTC를 잘못 지급했다. 당시 가치로 약 430억 달러였고, 이 물량은 빗썸 내부 장부에만 존재했다. 빗썸은 비트코인의 99.7%를 회수했다고 밝혔다.
3월에는 금융정보분석원이 자금세탁방지 의무 위반을 이유로 빗썸에 368억 원(2,460만 달러)을 부과하고 6개월 부분 영업정지를 명령했다. 서울의 법원은 4월에 이 정지 조치를 막았다. 빗썸은 2028년 증시 상장을 위한 3단계 계획을 내놨고, 이재원 대표는 6월에 국회의원 아들 채용 의혹과 관련해 뇌물 혐의 피의자로 입건됐다.
코인베이스는 분석 협력사 앰플리튜드에서 보안 사고가 나 일부 고객의 연락처 정보가 노출됐다고 밝혔다. 코인베이스 지원 계정은 X에 “코인베이스는 데이터 침해를 당하지 않았다”고 적었다. 이어 앰플리튜드의 다른 고객사와 함께 코인베이스 고객 연락처 데이터 ‘소수’가 영향을 받았다고 설명했다. 디크립트는 이 글이 화요일 밤에 올라왔다고 적었고, 코인텔레그래프는 수요일 공지로 전했다.
코인베이스는 자사 시스템에 무단 접근한 증거를 찾지 못했고 고객 자금은 영향을 받지 않았다고 강조했다. 영향을 받은 고객과 규제 당국에는 법적 의무에 따라 통지하는 중이다. 하지만 피해 고객 수와 노출된 연락처의 종류, 사고 시점은 밝히지 않았다. 앰플리튜드의 다른 고객사 이름도 공개하지 않았다. 코인텔레그래프도 영향을 받은 고객 수를 코인베이스에 문의했지만 기사 게재 시점까지 답을 받지 못했다.
코인베이스는 앞서 훨씬 심각한 사고를 겪었다. 지난 2025년 5월 사이버 범죄자들이 해외 고객지원 직원들을 매수해 월간 거래 이용자의 1% 미만에 해당하는 개인정보를 빼냈다. 코인베이스는 2,000만 달러 몸값 요구를 거절하고 공격자 검거로 이어질 제보에 2,000만 달러 현상금을 걸었다. 이후 메인주 법무장관에게 제출된 서류에는 피해 고객이 6만 9,461명으로 적혔고 이름·주소·마스킹된 사회보장번호·정부 발급 신분증 이미지가 노출됐다. 코인베이스는 당시 보상·복구 비용을 최대 4억 달러로 추산했다.
협력사를 통한 유출은 코인베이스만의 일이 아니다. 하드웨어 지갑 업체 트레저(Trezor)는 9월 배송 대행사 쉽몽크(ShipMonk) 침해로 미국 고객 6만 7,000명의 이름·전화번호·집 주소가 노출됐다고 밝혔다. 8월에 공개한 1만 4,000명 가까운 규모와는 별개였다. 일부 기록은 2019년 자료였다.
이날 유출을 알린 한국 금융사는 빗썸만이 아니다. 대신증권은 지난주 무단 접근 징후를 포착했고, 고객 3만 8,490명의 이름·이메일 주소·휴대전화 번호가 유출됐다고 밝혔다. 여기에 신용정보도 포함된 것으로 전해졌다. 대신증권은 피해가 발생하면 법에 따라 보상하겠다는 입장이다.
미래에셋자산운용은 일부 웹 시스템에 대한 비정상적인 외부 접근을 차단하고 사고를 조사하고 있다. 연합뉴스에 따르면 이 회사는 투자자 정보는 영향을 받지 않았다고 밝혔다. 금융 당국은 점검에 들어갔다. CZ는 두 곳을 증권사로 적었지만 보도에서 미래에셋은 자산운용사로 소개된다.
연쇄 공격은 이미 확산 중이었다. 금융감독원 이찬진 원장은 수요일 금감원 본원 회의에서 10월 14일 기준 국내 금융사 16곳이 사이버 공격을 받았다고 말했다. 금융위원회는 이달 초 은행을 포함한 16개 금융사 해킹으로 약 10만 건의 정보 유출이 있었다고 밝혔다.
CZ는 4건을 나열하며 “유출을 막을 수는 없지만 스스로를 보호할 수는 있다”고 적었다. 거래소에서 새는 데이터는 주로 피싱·유심 스와핑(SIM swapping, 통신사 번호를 가로채는 수법)·사회공학(social engineering, 사람을 속여 정보를 빼내는 기법)에 쓰인다고 경고했다. 유출된 주소와 보유 자산 정보가 “현실 세계의 갈취와 강도로 이어진 적이 있다”는 말도 덧붙였다.
CZ가 권한 방법은 세 가지다. 거래소마다 고유한 이메일 별칭으로 가입하고 문자 기반 2단계 인증을 피하며 통신사에 번호 잠금을 요청하라는 것이다. 코인피디아는 비밀번호 관리자 활용과 하드웨어 보안 키·패스키·인증 앱 사용도 제안했다. 출금 주소 화이트리스트와 출금 시간 잠금, 피싱 방지 코드를 켜고, 로그인 세션과 API 키를 점검해 쓰지 않는 키를 지우라고 했다. 필요한 API는 IP 주소로 제한하라는 조언도 있다.
유출이 알려진 뒤에는 의심 메시지를 경계해야 한다. 코인피디아는 거래소 지원팀이 비밀번호나 인증 코드, 시드 문구를 묻지 않는다고 강조했다. 이메일이나 문자 링크 대신 거래소 웹사이트에 직접 접속하고, 유출 공지가 나오면 비밀번호를 바꾸고 의심스러운 세션과 API 키를 폐기해야 한다. 출금 내역을 확인하고 해브 아이 빈 퓬드(Have I Been Pwned)에서 자기 이메일이 유출 목록에 있는지 조회하는 방법도 있다.
사이버 범죄 컨설턴트 데이비드 세현 백(David Sehyeon Baek)은 이름과 집 주소가 적힌 편지는 “우리가 당신을 찾아낼 수 있다”는 신호라고 말했다. 사람들이 주소나 번호를 좀처럼 바꾸지 않아 훔친 정보가 수년간 유용하다는 설명이다.