Trezor 정보 유출 피해자에게 우편으로 악성 큐알 코드 도착함

이번 사건은 단순한 피싱 링크 사건으로 축소해서는 안 된다고 봅니다. Trezor 배송 협력사에서 고객 정보가 유출된 뒤, 일부 피해자에게 Trezor가 보낸 것처럼 꾸민 우편물이 도착했고, 그 안의 QR 코드는 지갑 이전을 유도했습니다. 공격자는 온라인 계정만 노린 것이 아니라 실제 거주지와 암호화폐 보유 가능성을 연결해 공격 신뢰도를 높였습니다. 디지털 정보 유출이 물리적 위협으로 이어지는 구조가 드러난 셈이죠.

기사에 따르면 QR 코드는 공식 Trezor 도메인이 아니라 io-qr.cc의 trezor 하위 도메인으로 연결됐고, 추적 과정에서 qr-trezor 도메인으로 이동했습니다. 최종 페이지는 시드 문구 입력을 요구하며, 입력하는 순간 지갑 자산을 탈취할 수 있는 방식입니다. 여기서 가장 중요한 원칙은 분명합니다. 시드 문구는 어떤 웹사이트나 고객지원 담당자에게도 입력하면 안 됩니다. QR 코드가 편리해 보여도 사용자가 목적지를 확인하기 전에는 링크가 아니라 공격 통로일 가능성을 먼저 의심해야 합니다.

특히 Cloudflare를 사용한다는 사실은 정당성을 보장하지 않습니다. 도메인 등록기관, 리디렉션 서비스, 보안 서비스의 이름이 화면에 보인다고 해서 Trezor와 관련 있다는 뜻은 아니기 때문입니다. 악성 링크가 Domainsure Crypto Defender Threat Feeds와 Public URL Redirectors feed에 추가된 것은 탐지와 차단에 도움이 되지만, 목록에 오르기 전까지 피해를 막아주는 장치는 아닙니다. 결국 사용자가 공식 앱이나 제조사의 공식 웹사이트를 직접 입력해 확인하는 습관이 마지막 방어선이 됩니다.

더 심각한 대목은 주소 정보가 암호화폐 보유 정보와 결합될 수 있다는 점입니다. 이번 유출만으로 모든 수신자가 실제 자산을 보유하고 있다고 단정할 수는 없지만, 공격자는 배송 기록만으로 하드웨어 지갑 구매자라는 가능성을 확보합니다. 이는 협박이나 강압을 동반하는 이른바 렌치 공격의 위험을 키울 수 있습니다. 따라서 민감한 물품에 우편 사서함이나 별도 수령지를 활용하라는 권고는 과민반응이라기보다, 개인정보와 물리적 안전을 함께 관리하라는 현실적인 조언에 가깝습니다.

다만 이번 보도에서 아쉬운 부분은 유출된 정보의 범위와 피해자에게 제공된 구체적인 보호 조치가 충분히 드러나지 않는다는 점입니다. 협력사의 이름, 노출된 필드, 유출 기간, 영향을 받은 고객 수, Trezor가 주소 변경이나 추가 모니터링을 지원하는지 같은 정보가 공개돼야 이용자가 자신의 위험을 판단할 수 있습니다. 공급망에 책임을 돌리는 것만으로는 부족합니다. 민감한 제품을 판매하는 기업이라면 배송 협력사의 접근권한, 보관기간, 삭제 여부까지 관리하고, 사고가 발생했을 때 공격자가 다음에 무엇을 할지까지 안내해야 합니다.

7월 Coldcard 해킹 이후 보안을 위해 Trezor를 선택하던 시점에 이번 유출이 발생했다는 점도 상징적입니다. 이용자는 더 안전한 장치를 찾았지만, 보안은 기기 자체만으로 완성되지 않고 주문·배송·고객지원이라는 주변 시스템 전체에서 무너질 수 있습니다. 앞으로는 하드웨어 지갑 제조사들이 제품 보안뿐 아니라 구매자 개인정보의 최소 수집과 안전한 배송을 경쟁력으로 내세우게 될 가능성이 큽니다. 이번 사건은 QR 코드를 조심하라는 경고를 넘어, 암호화폐 보안에서 주소와 시드 문구를 같은 수준의 민감정보로 다뤄야 한다는 사실을 남겼습니다.