Keystone, WebAuth 침해로 지갑 18,835개 폐기... MiCA 규제 시한 임박

하드웨어 지갑 제조사 Keystone은 2026년 10월 26일 심각한 공급망 사고를 확인하고, 미판매 하드웨어 기기 18,835개를 물리적으로 폐기할 계획이라고 발표했습니다. 이러한 과감한 결정은 외부 데이터 모니터링 툴의 권한 상승 취약점으로 인해 회사의 내부 WebAuth 기기 인증 키가 탈취되면서 내려졌습니다. 이번 사고로 고객 25,964명의 개인정보까지 노출되면서, 유럽 플랫폼들이 규제 마감 기한을 앞두고 바쁘게 움직이는 가운데 물리적 보안 관리에 대한 우려가 커지고 있습니다.

Keystone 공급망 침해 사고

이번 사고의 근본 원인은 Keystone 기기의 신뢰 구축 방식에 있습니다. Keystone은 제조 과정에서 독자적인 WebAuth 인증 키를 기기의 보안 칩에 직접 구워 넣습니다. 이 키를 통해 Keystone 소프트웨어는 컴패니언 앱과 연결하기 전 해당 물리적 지갑이 정품인지, 변조되지 않았는지 확인할 수 있습니다.

공격자가 내부 키를 확보함에 따라 Keystone은 새로 유통되는 기기가 동일한 탈취 인증 서명을 사용하는 악성 복제본과 구별될 수 있다고 장담할 수 없게 되었습니다. Keystone은 변조된 하드웨어가 유통될 위험을 감수하는 대신, 즉시 출하를 중단하고 재고에 남아 있던 완제품 18,835개를 폐기하기로 결정했습니다.

기존 하드웨어 지갑 사용자들의 경우, 개인 키와 시드 구문은 보안 요소 내에서 생성되고 로컬에 보관되므로 이번 사고의 영향을 받지 않는다고 Keystone은 전했습니다. 그러나 고객 연락처 정보 유출은 즉각적인 피싱 위험을 야기하며, 루트 인증이 유출된 것은 셀프 커스터디 브랜드로서 상당히 뼈아픈 공급망 취약점이라 할 수 있습니다.

커스터디 커뮤니티가 주목하는 이유

셀프 커스터디 커뮤니티는 하드웨어 지갑을 웹 기반 공격에 대한 최고의 방어 수단으로 여기는 경향이 있습니다. 하드웨어 제조사의 생산 신뢰 체인이 일반적인 웹 모니터링 유틸리티를 통해 무너지는 것을 본 보안 연구자들과 커뮤니티 회원들 사이에서는 백엔드 보안 위생에 대한 논쟁이 재점화되고 있습니다.

많은 커뮤니티 회원은 제조 루트 키가 노출된 상황에서 물리적 폐기만이 Keystone이 할 수 있는 유일하고 신뢰할 수 있는 운영적 선택이었다고 지적합니다. 동시에 하드웨어 포럼 전반에서는 또 다른 위협에 대한 논의가 이어지고 있습니다. 고객 데이터베이스 유출은 관례적으로 타겟팅된 피싱 캠페인으로 이어지며, 공격자가 지갑 지원팀을 사칭해 사용자를 속이고 시드 구문을 탈취하려 할 수 있다는 우려입니다.

유럽 스테이블코인 규칙에 따른 병행되는 마감 기한

하드웨어 커스터디가 물리적 보안 난관에 봉착한 동안, 유럽 거래소 및 커스터디 플랫폼들은 규제 준수 측면에서 운영 압박을 받고 있습니다. 유럽 증권시장청(ESMA)의 지침에 따라, 유럽의 가상자산 사업자들은 규정을 준수하지 않는 스테이블코인 서비스를 종료하기 위해 3개월간의 전환 기간을 보내고 있습니다.

규제 당국은 스테이블코인 발행사가 유럽은행감독청(EBA)의 감독하에 감사된 준비금을 유지하고 명시적인 상환 권리를 보장하도록 엄격한 요건을 시행하고 있습니다. 유럽 연합 내에서 운영되는 플랫폼은 정리 기간이 만료되기 전에 이러한 기준을 충족하지 못하는 거래 쌍을 상장 폐지하거나 제한해야 하며, 이로 인해 유럽 트레이더들은 중앙화 거래소에 보유한 스테이블코인을 재검토해야 하는 상황입니다.

다음 관전 포인트

Keystone 하드웨어 지갑 소유자라면 복구 시드가 오프라인 상태로 안전하게 보관되는 한 온체인 자산은 안전합니다. 현재 가장 실질적인 우려는 소셜 엔지니어링입니다. Keystone은 이메일이나 메신저 앱을 통해 절대로 복구 구문, 비밀번호, 혹은 물리적 기기를 요구하지 않습니다. 중고 기기 구매를 고려하는 사람들은 새로운 물량이 출하되면 공식 승인된 채널을 통해서만 구매해야 합니다.

이러한 일련의 사태는 Web3에서 운영적 전제가 얼마나 빠르게 바뀔 수 있는지 잘 보여줍니다. 공장 수준에서 물리적 기기 인증 정보를 보호하는 것이든, 지역별 스테이블코인 기준을 맞추기 위해 거래소 포트폴리오를 조정하는 것이든, 연말을 앞두고 운영적 근면함이 중요해지고 있습니다.