콜드월렛 제조사 트레저, 배송 파트너발 고객정보 유출 사건

2026년 5월 10일부터 8월 8일 사이 트레저의 제품 보관·배송을 담당하는 물류업체 쉽몽크(ShipMonk)의 시스템에 권한 없는 제3자가 접근해 고객 데이터를 열람한 것으로 뒤늦게 확인됐다. 쉽몽크는 트레저와의 계약에 따라 주문 처리에 필요한 고객 정보를 수집·보관하되 90일 이내에 삭제하거나 익명화하도록 돼 있었으나 이 정책이 지켜지지 않은 것으로 드러났다. 해당 기간 동안 미국, 영국, 스웨덴, 콜롬비아, 브라질, 이탈리아, 포르투갈 등 7개국으로 제품을 배송받은 고객들의 정보가 노출 위험에 놓였다. 트레저의 지갑 소프트웨어나 하드웨어 자체는 이번 침해와 무관했으나, 문제는 배송 주소 등 물리적 위치 정보가 유출됐다는 점이었다. 이는 콜드월렛처럼 '가장 안전하다'고 여겨지는 자산 보관 수단조차 외주 물류망을 통해 개인정보 유출 위험에 노출될 수 있음을 보여준 사례로 지목됐다.

2026년 8월 13일 트레저는 쉽몽크로부터 통보받은 시스템 침해 사실을 공식 확인하고 총 1만3689명의 고객 정보가 노출됐다고 발표했다. 이 중 1만1742명은 이름, 배송 주소, 이메일, 전화번호 등 상세 정보 전체가, 1947명은 이름과 거주 도시, 이메일 주소가 노출된 것으로 구분됐다. 트레저는 공식 성명에서 '이 사안이 얼마나 심각한지 잘 알고 있으며 영향을 받은 고객들에게 깊이 사과한다'고 밝혔다. 회사는 자사 시스템과 지갑 기기 자체는 안전하다고 강조하면서도 고객들이 피싱 공격 위험에 노출될 수 있다는 점은 인정했다. 이번 발표로 하드웨어 지갑 업계 전반에 걸친 외주 물류·배송망 보안 관리 문제가 다시 도마 위에 올랐다.

2026년 8월 14일 국내외 언론이 이번 사건을 잇달아 보도하면서 단순 개인정보 유출을 넘어선 위험성이 부각됐다. 가상자산 보유자들의 실제 배송 주소가 유출된 만큼, 트레저 사칭 피싱 이메일·문자뿐 아니라 자산가를 노린 표적 강도나 주거침입 범죄로 이어질 수 있다는 우려가 제기됐다. 실제로 과거 해외에서는 콜드월렛 배송 정보나 커뮤니티 활동을 통해 신원이 특정된 가상자산 보유자가 강도나 납치 범죄의 표적이 된 사례가 여러 차례 보고된 바 있다. 그러나 트레저의 공식 발표에는 이런 물리적 범죄 위험에 대한 구체적 언급이나 대응 방안이 빠져 있어 아쉽다는 지적도 나왔다. 보안 전문가들은 이용자들에게 공식 채널을 통한 연락인지 반드시 재확인하고, 지갑 백업 문구(시드 문구)는 어떤 경우에도 웹사이트에 입력하거나 타인과 공유하지 말라고 당부했다.

코인피디아 등 가상자산 전문매체들도 2026년 8월 14일 트레저의 발표 내용을 검증해 유출 규모를 재확인해 보도했다. 이들 매체는 노출된 데이터가 트레저 자체 서버가 아니라 물류 파트너사에서 유출됐다는 점을 재차 강조하며, 지갑 자산 자체에 대한 직접적 탈취 위험은 낮다고 평가했다. 다만 배송 주소가 담긴 개인정보는 다른 유출 데이터와 결합될 경우 신원 특정에 악용될 소지가 있다는 경고도 함께 실렸다. 매체들은 유사한 물류망발 유출 사고가 반복되고 있다며 하드웨어 지갑 업계 전반에 공급망 보안 점검을 촉구했다. 이번 사건은 콜드월렛 이용자들에게도 '지갑은 안전해도 배송망은 안전하지 않을 수 있다'는 경각심을 남겼다.

트레저는 재발 방지 대책으로 2026년 9월까지 유럽연합(EU) 지역에, 연말까지는 미국 지역에 '익명 배송(Anonymous Delivery)' 옵션을 도입하겠다고 발표했다. 이 옵션이 도입되면 구매자의 실제 배송 주소가 물류업체에 직접 노출되지 않는 방식으로 제품을 받을 수 있게 된다. 회사는 고객들에게 트레저를 사칭한 이메일이나 문자를 받으면 반드시 공식 채널을 통해 진위를 확인하라고 재차 당부했다. 이번 조치는 업계에서 하드웨어 지갑 제조사가 공급망 보안 문제에 대응한 비교적 이례적인 선제 조치로 평가됐다. 그러나 이미 유출된 고객 정보를 되돌릴 수는 없어, 피해자들의 장기적 불안은 당분간 이어질 것으로 전망된다.