트레저 데이터 유출, 미국 고객 6만7000명 개인정보 추가 노출

하드웨어 지갑을 만드는 트레저가 2026년 9월 4일 데이터 유출 공지를 갱신했어요. 배송을 맡겼던 대행사 ShipMonk 에서 새어 나간 범위가 넓어져, 미국 고객 약 6만7000명의 이름과 집 주소, 전화번호가 추가로 노출됐어요. 트레저는 자사 시스템과 하드웨어 지갑, 개인키, 지갑 백업은 영향을 받지 않았다고 밝혔어요.

무슨 일이 있었나요

시작은 2026년 8월 13일이에요. 트레저는 배송·물류를 맡긴 ShipMonk 에서 주문 데이터에 누군가 무단으로 접근한 사실을 알렸어요. 이때 밝힌 피해 규모는 고객 13,689명이었어요. 그중 11,742명은 정보가 전부, 1,947명은 일부만 노출됐어요.

그러다 9월 4일 공지가 크게 바뀌었어요. 트레저는 이틀 전 ShipMonk 로부터 예전 협력 시기 주문 데이터도 함께 노출됐다는 연락을 받았다고 했어요. 2019년 11월부터 2021년 8월 사이에 트레저 제품을 주문한 미국 고객 약 6만7000명이 여기에 들어가요.

두 건을 합치면 8만 명이 넘어요. 5년도 더 지난 주문 기록이 남아 있었다는 게 이번 갱신의 핵심이에요.

어떤 정보가 새어 나갔나요

새로 확인된 미국 고객 기록에는 이름, 이메일 주소, 전화번호, 배송 주소, 주문번호가 들어 있어요. 8월에 알려진 건과 항목이 거의 같아요.

구분	주문 시기	규모	노출 항목
8월 13일 공지	2026년 5월 10일~8월 8일	13,689명	이름·이메일·전화번호·배송 주소 (일부는 이름·도시·이메일만)
9월 4일 갱신	2019년 11월~2021년 8월	미국 약 6만7000명	이름·이메일·전화번호·배송 주소·주문번호

트레저는 새어 나가지 않은 것도 못 박았어요. 트레저 시스템, 하드웨어 지갑, 개인키, 지갑 백업은 그대로예요. 소포 안에 뭐가 들어 있었는지도 노출되지 않았어요. 즉 이번 일로 지갑에 있는 코인이 바로 빠져나가지는 않아요.

삭제했다던 데이터가 남아 있었어요

트레저는 공지에서 ShipMonk 와 거래하는 내내 데이터를 지웠다는 확인서를 반복해서 요청하고 받았다고 했어요. 그런데 실제로는 지워지지 않은 채 남아 있었어요. 트레저는 이 점을 두고 매우 실망스럽다고 적었어요.

BleepingComputer 는 8월 보도에서 ShipMonk 가 쓰던 분석 도구 Metabase 의 SQL 인젝션 취약점이 통로였다고 전했어요. SQL 인젝션 — 데이터베이스에 던지는 질의문에 공격 문장을 끼워 넣어 원래 못 보는 자료까지 꺼내는 수법이에요.

왜 이름과 주소가 문제예요

암호화폐 지갑을 산 사람 명단이라는 게 문제예요. 이름과 집 주소, 전화번호가 붙어 있으면 사기꾼 입장에서는 코인을 가진 사람을 골라 노릴 수 있어요.

가장 흔한 건 피싱이에요. 트레저 고객센터를 사칭한 메일이 오고, 기기에 문제가 생겼으니 복구 문구를 넣으라고 해요. 여기에 실제 주문번호나 집 주소가 적혀 있으면 진짜처럼 보여요. 전화나 종이 우편으로 오는 경우도 있어요.

집 주소가 함께 나간 만큼, 오프라인에서 접근해 오는 연락에도 조심하는 게 좋아요.

지금 할 수 있는 것

트레저가 공지에서 안내한 내용은 이래요.

• 지갑 백업(복구 문구)은 어떤 웹사이트에도 입력하지 않고, 누구에게도 알려주지 않아요. 트레저 직원도 물어보지 않아요.
• 지금 당장 뭔가 하라고 재촉하거나 개인정보를 묻는 연락은 일단 의심해요.
• 받은 메일이나 웹페이지 내용은 트레저 공식 채널의 안내와 대조해 봐요.

여기에 더해, 트레저 기기를 쓰는 분이라면 복구 문구를 화면에 띄우거나 사진으로 찍어 두지 않았는지 한 번 확인해 보세요. 이번 유출과 별개로 복구 문구가 온라인에 남아 있으면 그게 더 큰 구멍이에요.

정리

• 트레저가 9월 4일 공지를 갱신했어요. 배송 대행사 ShipMonk 유출에 2019년 11월~2021년 8월 주문 미국 고객 약 6만7000명이 추가됐어요.
• 노출된 건 이름·이메일·전화번호·배송 주소·주문번호예요. 트레저 시스템과 하드웨어 지갑, 개인키, 지갑 백업은 영향이 없어요.
• 진짜 위험은 이 정보를 쓴 사칭 연락이에요. 복구 문구를 요구하면 무조건 가짜예요.

다음에 할 일 한 가지. 트레저를 산 적이 있다면 그때 쓴 이메일로 온 메일함을 열어 트레저 안내가 왔는지 확인하고, 앞으로 오는 트레저 관련 연락은 공식 사이트에서 직접 확인해 보세요.