하드웨어 월렛 제조사 Trezor와 BitBox의 공식 이메일을 사칭한 피싱 공격이 발생해 주의가 필요합니다. 더블록 보도에 따르면, 이번 피싱 메일은 발송자가 공식 도메인으로 표시되어 사용자들이 쉽게 속을 수 있는 형태였습니다.

조사 결과 제조사 자체 시스템이 직접 해킹당한 것은 아닙니다. 이메일 발송을 담당하는 외부 서비스 업체의 보안이 뚫리면서 공식 도메인 권한이 악용된 것으로 확인되었습니다.

Trezor는 과거에도 배송 담당 외부 업체의 데이터 유출 사고를 겪은 적이 있죠. 이번 사건 역시 기기 자체의 보안이 아무리 강력하더라도, 마케팅이나 배송을 담당하는 외부 협력 업체를 통한 공급망 공격에는 여전히 취약할 수 있음을 보여줍니다.

아무리 공식 이메일 주소로 발송된 메일이라 하더라도 시드 구문 입력을 요구한다면 100% 피싱입니다. 어떤 하드웨어 월렛 제조사도 온라인으로 복구 문구를 요구하지 않는다는 기본 원칙을 늘 기억해야겠습니다 ㅎㅎ 다른 지갑 제조사들로 비슷한 피해가 확산되는지 당분간 경계하며 지켜봐야겠네요.

관련 링크