[키스톤(Keystone)] 하드웨어 월렛 제조사 공식 웹사이트 무단 접근…고객 이름·연락처·배송지·주문내역 유출_2026년 10월

암호화폐 하드웨어 월렛 제조사 키스톤(Keystone)이 2026년 10월 20일 공식 웹사이트에 대한 무단 접근을 발견했고, Shopify의 API 활동을 확인한 결과 10월 23일 제3자가 고객 이름·연락처·배송지 주소·주문내역(상품·가격)을 가져간 사실을 확인했습니다. 결제카드·은행 정보와 복구 문구·개인키·지갑 비밀번호는 유출되지 않았다고 밝혔지만, 키스톤 직원을 사칭한 사기에 주의가 필요합니다.

□  개요 

   키스톤은 2026년 10월 24일(한국시간 25일) 공식 X(옛 트위터) 계정에 "사과드립니다(We owe you an apology)"라는 글을 올리고, 공식 웹사이트 무단 접근으로 고객 배송정보가 유출됐다고 밝혔습니다.
    키스톤에 따르면 10월 20일 공식 웹사이트에 대한 무단 접근을 발견했고, 쇼핑몰 플랫폼 Shopify와 API 활동을 확인한 뒤 10월 23일 제3자가 고객 배송정보를 가져간 사실을 확인했습니다. 유출 항목은 고객 이름, 연락처, 배송지 주소, 주문내역(구매 상품·가격)입니다. 결제카드·은행 정보, 지갑 복구 문구, 개인키, 지갑 비밀번호는 유출되지 않았습니다. 피해 고객 수는 공개되지 않았습니다.
    키스톤은 무단 접근을 차단하고 취약점을 수정했으며, 조사를 진행하면서 영향받은 고객에게 이메일로 알리고 있습니다. 며칠 안에 상세 보고서를 공개할 예정입니다. 하드웨어 월렛 구매자의 실제 주소와 주문 정보가 유출된 만큼, 환불·기기 교체를 빙자한 사칭 피싱이나 가짜 기기 발송에 주의해야 합니다.

 

□  사고내용 요약  

    1. 회사명 : 키스톤(Keystone, 암호화폐 하드웨어 월렛 제조사)
    2. 사고유형
        - 공식 웹사이트(Shopify 기반 쇼핑몰) 무단 접근에 의한 고객 배송정보 유출
    3. 유출규모
        - 미공개
    4. 유출항목
        - 이름, 연락처, 배송지 주소, 주문내역(구매 상품·가격)(결제카드·은행 정보, 복구 문구, 개인키, 지갑 비밀번호는 미유출)

    5. 특이사항
        - 키스톤은 Shopify API 활동을 확인해 유출을 확정했으며, Shopify 자체가 침해됐다는 내용은 없음
        - 무단 접근 발견(10월 20일)부터 유출 확인(10월 23일)까지 3일, 공개는 10월 24일(한국시간 25일)
        - 지갑 자산과 직결되는 복구 문구·개인키는 유출되지 않음
        - 그러나 암호화폐 보유자로 추정되는 사람의 실명·주소·구매 기기가 함께 유출돼, 표적 피싱과 가짜 교체 기기 발송, 오프라인 위협에 악용될 우려(추정)
        - 키스톤은 "주문하지 않은 기기에 복구 문구를 절대 입력하지 말라"고 경고
        - 무단 접근 경로와 수정한 취약점의 내용은 미공개(상세 보고서 공개 예정)

□  사고대응 타임라인  

    - 2026년 10월 20일(화)
        . 키스톤, 공식 웹사이트 무단 접근 발견
        . 무단 접근 차단, 취약점 수정, 조사 착수
    - 2026년 10월 23일(금)
        . Shopify와 API 활동 확인 결과 제3자의 고객 배송정보 획득 사실 확인
    - 2026년 10월 24일(토, 한국시간 25일)
        . 공식 X 계정에 사과·유출 사실 공개, 영향받은 고객 이메일 통지
        . Crypto Briefing·Bitcoin.com 등 해외 매체 보도
    - 2026년 10월 25일(일)
        . 이코노미블록 등 국내 보도
    - 예정
        . 상세 사고 보고서 공개

□  개인정보 유출 관련 홈페이지 안내  

키스톤 공식 X 공지 주요 내용(2026년 10월 24일, 번역·요약)

"We owe you an apology. On October 20, we detected unauthorized access to our official website. After verifying API activity with Shopify, we confirmed on October 23 that a third party obtained customer shipping information. You trusted us with those details, and we're sorry…"
(사과드립니다. 10월 20일 공식 웹사이트에 대한 무단 접근을 발견했습니다. Shopify와 API 활동을 확인한 결과, 10월 23일 제3자가 고객 배송정보를 가져간 사실을 확인했습니다. 믿고 맡겨 주신 정보를 지키지 못해 죄송합니다.)

■ 유출 항목
이름, 연락처, 배송지 주소, 주문내역(구매 상품·가격)

■ 유출되지 않은 정보
결제카드·은행 정보, 지갑 복구 문구, 개인키, 지갑 비밀번호

■ 조치 사항
무단 접근 차단, 취약점 수정, 조사 진행, 영향받은 고객 이메일 통지, 상세 보고서 공개 예정

■ 이용자 유의사항
- 환불, 교체 기기, 주문 지원을 내세운 키스톤 사칭 연락 주의
- 예상하지 못한 링크 클릭 금지
- 복구 문구나 개인키를 누구에게도 알려주지 말 것
- 주문하지 않은 기기에 복구 문구를 입력하지 말 것

※ 공지 원문(영문) 첫 부분을 인용하고, 나머지는 보도 내용을 요약했습니다.

 

□  대응내역  

    - (키스톤) 무단 접근 차단, 취약점 수정, 조사 진행
    - (키스톤) Shopify와 API 활동 확인으로 유출 범위 확인
    - (키스톤) 공식 X 공지, 영향받은 고객 이메일 통지, 사칭 사기 주의 안내
    - (키스톤) 상세 사고 보고서 공개 예정
     ※ 피해 고객 수, 무단 접근 경로, 수정한 취약점, 한국 고객 포함 여부, 감독기관 신고 여부는 미공개

□ 재발방지대책(권고사항)   

    1. 기술적 조치
        - 쇼핑몰 관리자 계정과 API 키(앱·연동 토큰)에 최소 권한 부여, 주기적 교체, 다중 인증 적용
        - 주문·고객 데이터 대량 조회 API 호출 실시간 모니터링
        - 쇼핑몰에 연결된 외부 앱·플러그인 전수 점검, 불필요한 연동 해제
        - 배송이 끝난 주문의 고객 주소 정보는 보관 기간 최소화

    2. 관리적 조치
        - 피해 규모와 침입 경로를 담은 상세 보고서 신속 공개, 국가별 피해 고객 개별 통지
        - 고객 대상 사칭 사기 유형(교체 기기 발송, 복구 문구 요구) 안내 강화
        - 이용자 피해 예방 : 키스톤을 사칭한 메일·문자·택배에 응하지 말고, 복구 문구는 어떤 경우에도 입력·공유하지 않기, 주문하지 않은 기기는 사용하지 않기

□  관련기사(출처)  

• We owe you an apology - Keystone Hardware Wallet(공식 X)
• 암호화폐 월렛 키스톤 “웹사이트 무단 접근으로 고객 배송정보 유출” - 이코노미블록
• Keystone Hardware Wallet says website breach exposed customer data - Crypto Briefing
• Keystone Wallet Data Breach Exposes Buyers' Addresses to Scammers - Bitcoin.com

감사합니다.