[세이프팔(SafePal)] 주문추적 플러그인 결함으로 고객 3만9798명 개인정보 유출_2026년 08월

바이낸스랩스 투자를 받은 하드웨어 암호화폐 지갑 제조사 세이프팔(SafePal)이 주문 정보 시스템의 권한 인증 결함(authorization flaw)으로 고객 3만9798명의 개인정보가 노출됐다고 공식 발표했다. 시드문구·프라이빗 키·지갑 비밀번호 등 자산 관련 정보는 유출되지 않았으나, 유출 사실이 공개된 이후 해커가 탈취 데이터를 다크웹에서 판매 중인 사실도 추가로 확인됐다.

□  개요 

   세이프팔(SafePal)은 2026년 8월16일(현지시각) 주문 정보 시스템에서 발생한 보안 결함으로 고객 3만9798명의 개인정보가 노출됐다고 공식 발표했다.
    세이프팔은 고객 주문을 추적하는 플러그인에서 권한 인증 결함을 확인했다고 밝혔다. 이 결함 때문에 특정 조건에서 한 고객이 주문번호만 바꾸면 다른 고객의 주문 정보를 볼 수 있었다. 유출된 정보는 이름, 이메일, 배송지 주소, 전화번호, 구매 내역 등이며, 시드문구·프라이빗 키·지갑 비밀번호·결제카드 정보·신분증 번호 등은 노출되지 않았다.
세이프팔은 2026년 5월 초 관련 피싱 신고를 처음 접수했으나 당시에는 단일 사례로 판단해 대응했고, 이후 이를 정식 보안 조사로 격상했다. 2026년 7월 들어 주문처리 시스템 전반에 대한 전면 재검토와 재구축 작업을 시작했으며, 이 과정에서 플러그인 결함을 최종 확인해 수정하고 추가 접근통제 조치를 도입했다.
    유출 범위가 예상보다 넓어진 원인으로는 별도의 데이터 관리 오류가 지목됐다. 정기적으로 오래된 주문 데이터를 삭제하는 자동화 프로세스가 설정 오류로 2025년 9월부터 2026년 4월까지 제대로 작동하지 않았고, 그 결과 피해 범위가 2025년 3월2일부터 2026년 4월11일 사이 주문 건까지로 확대됐다. 세이프팔은 이후 개인정보 보관 기간을 법적 요건에 따라 최대 90일로 단축했다.
    세이프팔은 사기성 웹사이트와 피싱 링크 30여개를 이미 적발해 폐쇄했으며, 영향을 받은 고객들에게 개별 이메일을 발송하고 유출 여부를 조회할 수 있는 도구도 공개했다. 다만 해외 매체(BleepingComputer 등)에 따르면 사고 공개 이후 한 위협 행위자가 사이버범죄 포럼에서 유출된 것과 동일한 규모(약 3만9798명)의 세이프팔 고객 데이터를 판매하겠다고 주장하고 나서, 실제 데이터 유통 정황도 확인됐다. 세이프팔은 지갑 자체가 해킹된 사례는 없으며, 대표 기기 S1이 블루투스·와이파이·NFC·USB 연결 없이 작동하는 에어갭 방식이어서 지갑 기기 자체는 안전하다고 강조했다. 앞서 경쟁사 트레저(Trezor)도 배송대행업체 '십몽크(ShipMonk)' 시스템이 뚫려 고객 13,689명의 주문정보가 유출된 유사 사고를 겪은 바 있어, 하드웨어 지갑 업계 전반의 공급망·주문처리 보안 문제가 반복되고 있다는 평가가 나온다.

 

□  사고내용 요약  

    1. 회사명 : 세이프팔(SafePal, 바이낸스랩스 투자 하드웨어 지갑 제조사)
    2. 사고유형
        - 주문추적 플러그인 권한 인증 결함(IDOR 유형)에 따른 개인정보 무단 접근 사고
        -  데이터 삭제 프로세스 오류로 인한 유출 범위 확대 사고
        -  유출 데이터 다크웹 판매 확인 사고
    3. 유출규모 : 3만9798명(2025.3.2~2026.4.11 주문 고객)
    4. 유출항목
        - 이름
        - 이메일 주소
        - 배송지 주소
        - 전화번호
        - 구매 내역
         ※ 시드문구·프라이빗 키·지갑 비밀번호·결제카드 정보·신분증 번호는 미포함

    5. 특이사항
        - 주문번호만 변경하면 타인의 주문정보를 열람할 수 있었던 전형적 권한 인증(IDOR) 결함
        - 최초 피싱 신고(5월)를 단일 사례로 오판, 7월 시스템 전면 재구축 과정에서야 결함 최종 확인
        - 데이터 자동 삭제 프로세스 오류(2025.9~2026.4)로 본래 삭제됐어야 할 옛 주문기록까지 유출 대상에 포함돼 피해 범위 확대
        - 사고 공개 이후 위협 행위자가 다크웹 사이버범죄 포럼에서 동일 규모의 데이터를 판매한다고 주장, 실제 데이터 유통 정황 확인
        - 최근 콜드카드(Coldcard) 지갑 해킹(약 1698억원 상당 비트코인 도난), 경쟁사 트레저의 배송대행업체 유출 등과 함께 하드웨어 지갑 업계 반복되는 보안 이슈로 지목
        - 지갑 기기 자체(S1, 에어갭 방식)는 해킹되지 않았으며 자산·지갑 접근 권한 침해 증거도 없음

□  사고대응 타임라인  

    - 2025년 03월 02일~2026년 04월 11일
        . 주문 고객 정보에 무단 접근이 이뤄진 것으로 파악된 기간(유출 대상 범위)
    - 2025년 09월~2026년 04월
        . 오래된 주문 데이터 자동 삭제 프로세스 설정 오류로 미작동(유출 범위 확대 원인)
    - 2026년 05월 초
        . 관련 피싱 신고 최초 접수, 단일 사례로 판단 후 대응
    - 2026년 07월
        . 주문처리 시스템 전면 재검토·재구축 착수, 플러그인 결함 최종 확인 및 수정
    - 2026년 08월 16일(현지시각)
        . 세이프팔, X(트위터)를 통해 사고 공식 발표
        . 영향받은 고객 대상 개별 이메일 발송
        . 유출 여부 확인용 조회 도구 공개
        . 사기성 웹사이트·피싱 링크 30여개 적발·폐쇄
    - 이후(해외 매체 추가 보도)
        . 위협 행위자, 다크웹 포럼에서 동일 규모 데이터 판매 주장 확인
    - 조사 진행 중
        . 독립 제3의 보안업체를 통한 수정조치 검증 및 시스템 전반 재점검 예정
        . 공격자 신원 미확정, 확정 피해 금액 미공개

□  대응내역  

    - 주문추적 플러그인 권한 인증 결함 수정 및 추가 접근통제 조치 도입
    - 개인정보 보관 기간을 법적 요건에 따라 최대 90일로 단축
    - 영향받은 고객 개인정보를 활성 전자상거래 서버에서 삭제(조사용 암호화 오프라인 사본만 별도 보관)
    - 사기성 웹사이트·피싱 링크 30여개 적발 및 폐쇄, 신규 도메인 지속 모니터링
    - 영향받은 고객 대상 개별 이메일 통지(8월16일)
    - 주문번호·배송국가 입력을 통한 유출 여부 셀프 조회 도구 신설
    - 물류·배송 협력사에 사고 경위 통보(협력사 시스템 확산 증거는 미발견)
    - 전담 지원 채널 개설 및 온체인 자산 추적 전문업체와 접촉
    - 독립 제3의 보안업체 선정을 통한 수정조치 검증 및 시스템 전면 재점검 예정

□ 재발방지대책(권고사항)   

    1. 기술적 조치
       - 주문번호 등 예측 가능한 식별자에 대한 권한 인증(Object-level Authorization) 전수 점검(IDOR 취약점 대응)
       - 제3자(플러그인·협력사) 연동 모듈에 대한 정기 보안 감사
       - 데이터 자동 삭제·보관주기 프로세스의 정상 작동 여부 상시 모니터링 및 이중 검증
       - 이상 대량 조회 패턴에 대한 실시간 탐지 체계 구축
       - 다크웹 모니터링을 통한 유출 데이터 유통 여부 상시 확인

    2. 관리적 조치
       - 초기 피싱·이상 신고에 대한 단일 사례 판단 대신 정식 조사 전환 기준 명확화(초기 대응 지연 방지)
       - 개인정보 최소 보관 원칙(법정 보관기한 준수) 상시 이행
       - 독립 제3자 보안업체를 통한 정기 검증 체계 상시화
       - 고객 대상 피싱·사칭 주의 및 시드문구·프라이빗 키 요구 불가 원칙 지속 안내
       - 유통 중인 유출 데이터 확인 시 피해 고객 대상 신속 재통지

□  관련기사(출처)  

• 세이프팔 3만9798명 정보 유출, 삭제 안 된 옛 주문기록이 피해 범위를 키웠다 - 위키트리
• SafePal data breach impacts 39,798 customers, stolen info for sale - BleepingComputer
• Wallet provider SafePal says data breach exposed personal info of nearly 40,000 customers - The Block
• Crypto Wallet SafePal Reveals a Data Breach Exposing Nearly 40,000 Customers' Order Info - CoinDesk

 

감사합니다.