트레저 사칭 피싱 메일 — 공식 주소로 온 가짜 보안 경고예요

트레저 이름으로 온 보안 경고 메일이 있다면 링크를 누르지 마세요. 트레저가 2026년 9월 9일, 외부 이메일 발송 업체가 뚫려 공격자가 트레저 공식 도메인 주소로 피싱 메일을 보냈다고 밝혔어요. 트레저는 하드웨어 지갑과 개인키, 지갑 백업은 영향을 받지 않았다고 했어요.

무슨 일이 있었나요

트레저는 메일을 직접 보내지 않고 외부 이메일 발송 업체를 써요. 이번에 뚫린 건 그 업체예요. 공격자가 그 통로를 잡으면서, 받는 사람 눈에는 트레저 공식 주소에서 온 메일로 보였어요.

그래서 평소 쓰던 피싱 판별법이 잘 안 통했어요. 보낸 사람 주소를 확인해도 진짜 도메인이었기 때문이에요.

트레저는 공식 X 계정에 이렇게 올렸어요. "Critical Security Alert: STM32 Entropy Vulnerability 라는 제목의 메일은 우리가 보낸 게 아니고 피싱이에요. 어떤 링크도 누르지 마세요."

디크립트에 따르면 이 안내는 미국 동부시간 9월 9일 오후 4시 30분 조금 지나 나왔어요. 여러 사용자가 메일을 받았다고 알린 지 몇 시간 뒤였어요.

가짜 메일이 주장한 내용

메일은 트레저 엔지니어가 하드웨어 수준의 심각한 취약점을 찾았다고 했어요. 기기에 들어가는 STM32 마이크로컨트롤러 — 하드웨어 지갑 안에서 계산을 담당하는 칩이에요 — 에 결함이 있다는 주장이었어요.

핵심 주장은 두 가지였어요.

• 기기 네 대 중 한 대꼴로 문제가 있다
• 그 기기에서 만든 복구 문구(시드)의 엔트로피가 부족하다

엔트로피는 시드를 만들 때 쓰는 무작위성이에요. 이게 약하면 남이 시드를 추측해 낼 수 있어요. 지갑 쓰는 사람 입장에선 가장 무서운 시나리오예요.

두 주장 모두 사실이 아니에요. 트레저가 피싱이라고 못 박았어요.

왜 하필 이 내용이었을까요

이 수법이 통할 만한 배경이 있었어요. 며칠 전 다른 하드웨어 지갑 콜드카드에서 실제로 시드 생성 문제가 터졌어요. 펌웨어 버그로 시드가 약하게 만들어졌고, 공격자가 개인키를 되살려 비트코인을 가져갔어요. 자세한 건 콜드카드 시드 취약점 정리에 적어 뒀어요.

그 뉴스를 본 사람이라면 "내 하드웨어 지갑도 시드가 약할 수 있다"는 메일에 손이 먼저 나갈 수 있어요. 공격자는 그 공포를 그대로 가져다 썼어요.

지금 확인된 것과 안 밝혀진 것

구분	내용
확인된 것	외부 이메일 발송 업체가 뚫렸고, 공식 도메인으로 피싱 메일이 나갔어요
확인된 것	하드웨어 지갑, 개인키, 지갑 백업은 영향이 없어요
확인된 것	피싱에 쓰인 도메인은 트레저가 내렸어요
확인된 것	트레저는 공격자가 어떻게 들어왔는지 조사 중이에요
안 밝혀진 것	어느 이메일 발송 업체인지
안 밝혀진 것	메일을 몇 명이 받았는지
안 밝혀진 것	고객 정보가 함께 들여다보였는지

보도 시점까지 이 피싱으로 코인이 빠져나갔다는 사례는 나오지 않았어요.

배송 대행사 유출과는 다른 건이에요

트레저는 지난달에도 다른 사고를 겪었어요. 배송 대행사 ShipMonk 에서 고객 정보가 새어 나간 일이에요. 트레저 공식 블로그 기준으로 모두 8만 689명이 영향을 받았어요.

• 1만 1,742명 — 이름, 이메일, 전화번호, 배송 주소
• 1,947명 — 이름, 도시, 이메일
• 약 6만 7,000명 — 2019년 11월부터 2021년 8월 사이 주문 건

이건 배송 정보가 샌 사고고, 이번 건은 메일 발송 통로가 뚫린 사고예요. 별개예요. 다만 둘을 합치면 위험은 커져요. 이름과 주소를 아는 상대가 공식 주소로 메일을 보낼 수 있으니까요. ShipMonk 건은 트레저 데이터 유출 정리에서 볼 수 있어요.

트레저 쓰는 분이 지금 할 일

트레저가 공식 블로그에서 안내한 내용이에요.

복구 문구는 어디에도 넣지 마세요. 웹사이트에 입력하거나 누구에게 알려주는 일은 없어야 해요. 트레저는 복구 문구를 물어보지 않아요. 물어보면 그게 사기예요.

바로 행동하라고 재촉하는 연락은 의심하세요. "지금 확인하지 않으면 자산이 위험하다" 같은 문장이 피싱의 기본 틀이에요.

메일 안 링크 대신 주소를 직접 쳐서 들어가세요. 보낸 사람이 진짜 도메인이어도 마찬가지예요. 이번 사고가 딱 그 경우였어요.

펌웨어는 트레저 스위트 안에서만 올리세요. 메일이나 다른 사이트에서 받은 파일은 쓰지 마세요.

같은 메일을 받았다면 지우고 넘어가세요. 링크를 이미 눌렀고 복구 문구를 입력했다면, 새 지갑을 만들어 자산을 옮기는 게 안전해요.

정리

• 트레저가 쓰던 외부 이메일 발송 업체가 뚫려, 공식 도메인으로 가짜 보안 경고 메일이 나갔어요.
• STM32 칩 결함으로 네 대 중 한 대가 위험하다는 메일 내용은 사실이 아니에요. 지갑과 개인키, 백업은 안전해요.
• 어느 업체가 뚫렸는지, 몇 명이 메일을 받았는지는 아직 안 밝혀졌어요.

받은 메일함을 열어 트레저 이름으로 온 보안 경고가 있는지 확인해 보세요. 있으면 링크를 누르지 말고 지우면 돼요. 확인할 게 있으면 주소창에 trezor.io 를 직접 쳐서 들어가면 돼요.