키스톤, 데이터 유출 인정하지만 주요 손상 부인

하드웨어 암호화폐 지갑 제조업체 Keystone은 공격자가 회사의 온라인 스토어에 접근하여 고객의 개인 데이터를 탈취했다고 확인했습니다. 회사의 성명에 따르면, 해커는 고객의 이름, 연락처 정보, 배송 주소, 주문한 장치의 세부 정보 및 비용을 입수했습니다. 사이트에 대한 무단 접근은 10월 20일에 발견되었습니다. 3일 후, 스토어가 운영되는 플랫폼인 Shopify와 함께 회사는 API에서의 활동을 점검하고 유출을 확인했습니다. 이후 개발자들은 접근을 차단하고, 취약점을 수정하며, 내부 조사를 시작하고, 이메일을 통해 영향을 받은 고객들에게 알림을 보내기 시작했습니다.

Keystone은 결제 및 은행 정보, 시드 구문, 개인 키 및 지갑 비밀번호는 영향을 받지 않았다고 주장합니다. 그러나 이러한 주장에 대한 독립적인 확인은 아직 없습니다. 회사는 영향을 받은 개인의 수, 시스템 침투 방법 또는 공격자의 신원을 공개하지 않았습니다. 자세한 보고서는 며칠 내에 발표될 예정입니다.

사건 이후 일부 고객들은 Keystone이 자체 개인정보 보호 정책을 준수했는지 의문을 제기했습니다. 제조업체의 웹사이트에는 주문 후 180일이 지나면 배송 정보가 자동으로 삭제되며, 고객은 장치를 받은 후 즉시 삭제를 요청할 수 있다고 명시되어 있습니다. 회사는 이를 장점으로 여러 번 강조했습니다. 그러나 여러 사용자는 X에서 주문한 지 180일이 넘었음에도 불구하고 유출에 대한 알림을 받았다고 보고했습니다. trintaetres_33라는 닉네임을 가진 고객은 2년 이상 전에 지갑을 구매했다고 언급했습니다. 다른 사용자는 마지막 주문과 유출 사이에 214일이 지났다고 지적했습니다.

PEPE_Whale69라는 가명을 사용하는 또 다른 고객은 제조업체의 공식 성명 이전에 경고를 제기했습니다. 그의 말에 따르면, 그는 아마존, 이베이 또는 Keystone의 이름을 알고 있는지 묻는 몬트리올 경찰의 스푸핑된 번호로부터 전화를 받았습니다. 발신자는 2024년 Keystone의 주문 데이터와 일치하는 정보를 가지고 있었습니다. 이에 대해 회사는 긴급 조사를 시작했다고 밝혔지만 180일 규칙에 대한 질문에는 공개적으로 답하지 않았습니다. 한편, 2026년 7월 7일에 업데이트된 현재 개인정보 보호 정책에서는 주문 날짜가 아닌 마지막 구매부터 기간이 계산됩니다. 문서에 따르면, 회사는 180일 동안 아무것도 주문하지 않은 고객의 데이터만 삭제합니다. 고객이 새 주문을 하면 이전 주문에 대한 정보는 보존됩니다. 동일한 조항은 2023년 2월에 마지막으로 업데이트된 도움말 센터 기사에도 있습니다.

8월에 하드웨어 지갑 제조업체 Trezor는 물류 파트너 ShipMonk의 침해로 인해 거의 14,000명의 고객 데이터 유출을 보고했습니다. 9월에는 또 다른 67,000명이 영향을 받았다고 보고하여 사건으로 영향을 받은 사용자의 총 수를 거의 81,000명으로 늘렸습니다. 유출된 데이터베이스에는 이름, 전화번호, 이메일 주소 및 배송 주소가 포함되어 있었습니다.