Keystone 데이터 유출 2026: 유출 범위, 피싱 위험, 하드웨어 지갑 자가 보호 체크리스트

2026년 10월 24일, 하드웨어 지갑 제조사 케이스톤(Kestone)이 공식 X 계정을 통해 사과 성명을 발표했습니다. 10월 20일 자사 홈페이지가 무단 접근을 당한 사실을 확인했고, 10월 23일 샵иф라이(Shopify)와 API 활동을 대조한 결과, 제3자가 고객의 배송 정보를 획득한 것으로 확인됐습니다. 유출된 정보는 이름, 연락처, 수령 주소, 그리고 주문 내역(무엇을 구매했는지, 가격은 얼마인지)을 포함합니다. 다만 결제 카드 정보, 은행 계좌 정보, 시드 문구, 개인 키, 지갑 비밀번호는 유출되지 않았습니다.

이 소식은 하드웨어 지갑 사용자에게 매우 충격적입니다. 장치는 개인 키를 안전하게 지켰지만, 구매 기록을 통해 ‘당신이 누구인지, 어디에 사는지, 얼마짜리 장치를 샀는지’라는 정보가 그대로 노출된 셈입니다. 암호화폐는 잃지 않았지만, 정확히 타깃을 맞춘 피싱 공격이나 직접 방문 위협은 현실적인 위험입니다.

먼저 결론부터: 암호화폐는 안전하지만, ‘신원 + 주소 + 주문 금액’은 유출됨

가장 오해하기 쉬운 점을 먼저 분명히 합니다. 이번 사건은 개인 키 유출도 아니고, 장치 해킹도 아닙니다. 케이스톤의 핵심 강점은 완전한 에어갭(air-gapped) 설계와 QR 코드 기반 서명 방식이며, 장치는 USB, 블루투스, Wi-Fi 등 어떤 네트워크에도 연결되지 않습니다. 공식 입장에 따르면 결제 카드 정보, 은행 계좌 정보, 시드 문구, 개인 키, 지갑 비밀번호는 모두 유출 범위에서 제외됩니다.

하지만 ‘배송 정보’의 가치는 생각보다 훨씬 큽니다. 공격자가 이름, 이메일/전화번호, 수령 주소, 그리고 ‘케이스톤 장치를 구매했으며 주문 금액은 얼마다’는 정보를 확보하면, 매우 공신력 있어 보이는 피싱 이메일이나 DM을 보내기 충분합니다:

• 케이스톤 고객센터를 사칭해 “귀하의 주문이 데이터 유출 영향을 받았습니다. 링크를 클릭해 신원을 확인하거나 환불을 신청하세요”라고 유도;
• “공식 교체용 장치”를 발송하며, 먼저 기존 시드 문구를 불러와 마이그레이션을 완료하라고 요구;
• “주소 오류로 인해 수령 정보를 재확인해야 한다”며 더 많은 개인정보를 빼내려 시도;
• 고가 주문 건을 대상으로 전화 스팸, 택배 가로채기, 심지어 직접 방문까지 시도할 수 있습니다.

따라서 올바른 대응은 패닉 상태에서 암호화폐를 매도하는 것이 아니라, ‘구매 데이터 유출’을 사회공학 공격의 시작점으로 인식하고 대응하는 것입니다.

공식 입장에서 확인된 것과 아직 확인되지 않은 것

케이스톤의 공식 성명과 여러 언론 보도를 종합해 현재까지 확인된 사실은 다음과 같습니다:

• 10월 20일: 홈페이지 무단 접근 발생 확인;
• 10월 23일: 샵иф라이와 API 활동을 대조한 결과, 제3자가 고객 배송 정보를 획득한 것으로 최종 확인;
• 유출된 항목: 이름, 연락처, 수령 주소, 주문 내역(상품 및 가격);
• 미유출 항목: 결제 카드 및 은행 정보, 시드 문구, 개인 키, 지갑 비밀번호;
• 대응 조치: 접근 차단, 취약점 수정, 조사 착수, 영향을 받은 사용자에게 이메일 통지 완료; 상세 보고서는 곧 공개 예정.

아직 공개되지 않은 정보는 다음과 같습니다: 영향을 받은 고객 수, 전체 역사적 주문이 포함되는지 여부, 전화번호 및 이메일의 정확한 필드 범위, 그리고 취약점의 구체적 유형입니다. 공식 입장에 따르면 조사는 계속 진행 중이며, 후속 보고서를 주의 깊게 살펴볼 필요가 있습니다.

왜 하드웨어 지갑 업체는 늘 ‘구매 데이터’에서 문제를 일으키는가?

이것은 케이스톤만의 문제가 아닙니다. 하드웨어 지갑 산업 전체의 공통된 약점입니다. 장치 자체 보안은 점점 더 강화되지만, 전자상거래, 물류, 고객지원 등 ‘물건을 파는 시스템’은 오히려 취약해질 가능성이 높습니다.

• 2026년 8월: 트레조르(Trezor)가 물류 협력사 셰프모낙(ShipMonk)의 데이터 유출 사실을 공개했으며, 미국 고객 약 67,000명이 영향을 받음;
• 2026년 10월: 레저(Ledger)는 범죄 조직이 정품 하드웨어 지갑을 개조해 시드 문구를 탈취하는 악성 펌웨어를 삽입하고, 동남아시아 유통업체를 통해 재판매했다고 확인함(자세한 내용은 레저 유통업체 백도어 사건 참조);
• 2026년 10월: 케이스톤 공식 홈페이지 주문 시스템이 무단 접근을 당해 고객 배송 정보가 유출됨.

이 세 건의 공통점은 공격자가 체인상의 개인 키를 얻지 못하자, ‘사람’을 공격 대상으로 전환했다는 점입니다. 실제 주문 정보를 바탕으로 신뢰를 구축한 후, 사용자가 스스로 시드 문구를 넘기도록 유도하거나, 손을 본 장치를 판매하는 방식입니다. 사용자 입장에서는 방어선이 단순히 장치에만 있는 것이 아니라, 구매 경로, 수령 방식, 정보 출처 전반에 걸쳐 존재합니다.

영향을 받은 사용자를 위한 자기 방어 체크리스트: 여섯 단계로 끝내기

1. 모든 ‘예기치 않은 연락’은 즉시 피싱으로 간주하기: 케이스톤을 사칭하거나, 환불/교체/주문 이상/주소 확인 등을 이유로 한 이메일, 문자, DM은 링크를 절대 클릭하지 말 것. 직접 공식 홈페이지나 공식 X 계정을 열어 확인할 것. 상대방이 제공한 링크나 입구는 사용 금지.
2. 시드 문구는 절대 어떤 웹사이트나 채팅창에도 입력하지 않기: 제조사, 고객센터, 경찰, 플랫폼 등 어느 누구도 시드 문구를 요청하지 않습니다. “불러오기 검증”, “지갑 마이그레이션”, “보상 해제” 등을 이유로 시드 문구 입력을 요구한다면 즉시 대화 종료. 시드 문구는 오직 본인의 장치에서만 입력해야 합니다.
3. 출처가 불분명한 ‘교체용 장치’는 거부하기: 본인이 직접 신청하지 않은 장치는 수령하지 말 것. 구매는 반드시 공식 홈페이지 또는 공식 인증 채널에서만 하며, 첫 사용 전에는 공식 매뉴얼에 따라 펌웨어와 서명을 반드시 검증할 것.
4. 공식 채널에 연락할 때는 반드시 직접 입구 찾기: 공식 홈페이지 도움말 센터나 공식 X 계정에서 공개한 채널을 통해 문의 티켓을 생성할 것. 이메일 내 연락처는 절대 답장하지 말 것. 주문 번호와 대화 기록은 반드시 보관할 것.
5. 수령 정보 관리를 개선하기: 향후 구매 시 택배함/대리 수령처, 전용 이메일 별명, 독립된 수령 전화번호 등을 활용할 것. 고가 장치를 같은 주소로 반복적으로 수령하지 말 것.
6. 의심스러운 페이지에서 시드 문구를 입력한 적 있다면: 즉시 해당 시드 문구로 관리하던 자산을 새 지갑으로 이체하고, 기존 지갑은 영구 폐기할 것. 이 작업은 공식 보고서를 기다리지 말고 바로 실행할 것. 시드 문구 및 개인 키 보호 기본 수칙은 시드 문구와 개인 키 보호 가이드 참고.

하드웨어 지갑은 여전히 쓸 수 있나요?

네, 사용 가능합니다. 이번 사건은 장치 펌웨어, 서명 프로세스, 개인 키와는 전혀 무관하며, 케이스톤의 에어갭 서명 로직도 해킹되지 않았습니다. 진정으로 조정해야 할 것은 구매 및 커뮤니케이션 과정에서의 보안 습관이며, 하드웨어 지갑을 거래소 커스터디로 대체하는 것은 올바른 해결책이 아닙니다.

큰 금액을 보유하고 있다면 위험을 분산하는 것이 좋습니다. 일상적인 소액 거래는 핫 월렛을, 큰 금액은 하드웨어 지갑을 사용하세요. 극단적인 경우라면 멀티시그(multisig)를 활용하거나 자산을 두 개의 독립된 지갑에 나누어 보관할 수도 있습니다. 모든 자산을 단일 기기나 동일한 시드 문구에만 의존하지 마세요. 하드웨어 지갑 선택 및 백업 방법은 지갑 선택 가이드에서 확인할 수 있으며, 권한 부여 후 해킹 발생 시 응급 대처법은 권한 점검 및 자기 구제 안내를 참고하세요.

자주 묻는 질문

내 코인이 도난당할 수 있나요?

공식 발표에 따르면, 개인 키, 시드 문구, 지갑 비밀번호가 유출되지 않았고 기기도 해킹되지 않았기 때문에 이번 데이터 유출만으로는 귀하의 자산을 직접 이체할 수 없습니다. 진짜 위험은 피싱입니다. 공격자는 실제 주문 정보를 이용해 귀하가 스스로 시드 문구를 넘기도록 속이거나, 개조된 기기를 사용하도록 유도할 수 있습니다.

지금 당장 자산을 옮겨야 하나요?

의심스러운 웹페이지나 채팅에서 시드 문구를 노출시킨 적이 있거나, 구매 경로가 신뢰할 수 없고 기기가 개조되었을 가능성이 있는 경우에만 즉시 자산을 이체해야 합니다. 단순히 공식 웹사이트의 주문 정보가 유출되었다는 이유만으로는 공포 심리에 휩쓸려 급하게 이체할 필요는 없습니다. 다만, 이후 발생하는 모든 ‘공식 연락’은 높은 위험으로 간주하고 주의해야 합니다.

Keystone에서 제게 연락해 지갑 인증을 요청할 수 있나요?

아니요. 시드 문구, 개인 키, 지갑 비밀번호를 요구하거나, 웹사이트나 앱에서 ‘지갑을 임포트해 인증을 완료하라’고 요청하는 모든 연락은 사기입니다. 공식 안내는 오직 공식 웹사이트 또는 공식 앱을 통해 제공됩니다.

이메일이 진짜인지 어떻게 확인하나요?

발신자 표시 이름이 아니라 전체 도메인 주소를 확인하세요. 이메일 내 링크는 클릭하지 말고, 직접 공식 웹사이트를 열어 도움말 센터나 공식 X 계정에서 공지 내용을 비교·확인하세요. 공식 공지는 일반적으로 웹사이트와 X에 동시에 게시됩니다.

앞으로도 Keystone을 살 수 있나요?

네, 가능합니다. 다만 공식 웹사이트나 공식 인증 판매처에서만 구매하시고, 배송은 택배함이나 대리 수령처를 이용하세요. 첫 사용 전에는 반드시 펌웨어를 검증하세요. 구매 데이터 유출은 이커머스 시스템의 문제일 뿐, 기기 자체의 보안이 무력화됐다는 의미는 아닙니다.

위험 고지: 본 문서는 정보 보안 사고에 대한 정리 및 조치 권고사항일 뿐, 투자 조언을 구성하지 않습니다. 사건 관련 세부 사항은 Keystone 공식 성명 및 후속 조사 보고서를 기준으로 합니다. 암호화 자산은 변동성이 매우 크므로, 본인 스스로 위험을 평가하시기 바랍니다. 시드 문구, 개인 키, 지갑 비밀번호를 요구하는 모든 행위는 사기로 간주해야 합니다.