5개월간 "내부 유령"과 코인베이스의 "귀머거리와 벙어리"

작성자: Jaleel Plus Six, BlockBeats

Coinbase는 최근 사용자 데이터 유출 사건을 매우 현명하게 처리했습니다. 최초의 암호화폐 주식이자 S&P 500에 진입한 최초이자 유일한 회사로서 마땅히 그래야 할 만큼 우아합니다.

저자는 예의상 Coinbase에 대한 기본적인 존경심을 표했습니다. 이제 이 회사를 수치의 기둥에 올려놓을 차례입니다.

5월 8일, 암호화폐 탐정 ZachXBT는 개인 채널에 "소셜 엔지니어링"을 통해 Coinbase 사용자들로부터 4,500만 달러가 추가로 사기당했다고 명시한 메시지를 게시했습니다. 지난 몇 달 동안 그가 추적한 유사한 사건에 연루된 금액은 9자리에 달했습니다. 사기꾼은 대개 Coinbase 고객 서비스인 척하여 사용자에게 전화나 이메일을 보낸 다음, 단계적으로 사용자가 공식 웹사이트로 위장한 피싱 링크를 클릭하도록 유도한 후, 사기꾼의 지갑으로 자금을 이체합니다.

어떤 사람들은 사용자들이 소셜 엔지니어링에 속았다고 말합니다. 이게 코인베이스와 무슨 상관이 있나요? "해당 플랫폼은 정부 규제 기관이 아니므로 사용자가 피싱 이메일을 클릭하는 것을 어떻게 막을 수 있을까요?"

우선, 다른 주요 거래 플랫폼은 이처럼 대규모로 유사한 사기 문제를 겪지 않았습니다. 둘째, 많은 피해자들은 사기꾼이 계좌 잔액과 거래 시간을 정확하게 말했을 뿐만 아니라 신분증 사진까지 제출했다고 보고했습니다. "모든 것이 너무나 현실적이었어요."

모든 것이 Coinbase 유출 데이터를 가리키고 있습니다.

Coinbase가 직접 밝힌 내용을 살펴보겠습니다. 5월 14일에 SEC에 제출된 8-K 문서에 따르면, Coinbase는 2025년 1월에 자사 보안 시스템을 통해 일부 해외 고객 서비스 담당자가 "사업적 필요" 없이 사용자의 전체 신원 정보에 접근했다는 사실을 발견했습니다.

Coinbase가 5월 20일에 메인주 검찰총장실에 제출한 보고서를 살펴보면, 데이터 침해는 그보다 더 이른 2024년 12월 26일에 발생했습니다.

메인주 보고서에 따르면, 침해는 2024년 12월 26일에 발생했고, 취약점은 2025년 5월 11일에 발견되었습니다.

하지만 이 사건은 5월 15일에 발표되었고, 공식 웹사이트 공지에 따르면, 범죄자들은 Coinbase의 해외 고객 서비스 직원을 표적으로 삼아 내부자로부터 현금으로 사용자 데이터를 샀습니다. 이 데이터에는 이름, 주소, 전화번호, 이메일, 정부 발행 신분증 이미지(운전면허증, 여권 등), 계좌 잔액 스냅샷 및 거래 기록이 포함됩니다.

즉, 데이터는 겨울 초에 도난당했지만 이제 봄이 지나고 Coinbase는 S&P 500에 포함되는 중요한 순간에 이 "방 안의 코끼리"를 직접 처리해야 했으며 해커로부터 공식적으로 사건을 공개하라는 협박 이메일을 받았다는 공지를 발표했습니다.

코인베이스 측에 따르면, 비정상적인 접속 사실을 발견한 후 관련 인력을 해고하고 보안 모니터링을 강화했다고 합니다. 하지만 이 5개월 동안 Coinbase가 한 유일한 "사용자 소통"은 3월 말에 보낸 모호하고 무미건조한 이메일이었는데, 직원이 계정 기록을 열람하는 것이 "규정을 위반했을 가능성이 있다"고 적혀 있었습니다.

"Coinbase 직원이 내부 정책에 어긋나는 방식으로 귀하의 계정을 포함한 소수의 Coinbase 고객의 계정 기록을 열람했을 가능성이 감지되었습니다."

블록의 공동 창립자인 마이크 두다스는 이전에 X에서 코인베이스로부터 불길한 이메일을 받았다고 공개했습니다.

이후로 우리는 이 사건에 대한 더 이상의 공식적인 공개나 추가 조사를 본 적이 없습니다.

더욱 "흥미진진한" 일들이 다가오고 있습니다.

데이터 유출 사건이 공식 발표된 날인 5월 15일, 새로운 Coinbase 사용자 계약이 공식적으로 발효되었습니다.

이 계약은 Coinbase의 "자체 보호막"으로 간주될 수 있습니다. 다른 길고 눈길을 끄는 내용을 제쳐두고, 두 가지 핵심 조항(9.9 및 9.10)이 있습니다. 모든 형태의 집단 소송을 금지합니다(집단 소송 포기). 모든 사용자가 뉴욕 법원에 독립적으로 소송을 제기하도록 강요합니다.

왜 뉴욕인가요? 뉴욕주에는 기업에 매우 유리한 규칙이 있습니다. 계약서에 모든 분쟁은 뉴욕 법원에서 해결해야 한다고 명시되어 있고 관련 금액이 100만 달러를 초과하는 경우, 법원은 "더 편리한 장소로 변경"이라는 이유로 소송 접수를 거부할 수 없습니다. 동시에 뉴욕 남부지방법원은 풍부한 재판 경험을 갖춘 금융 사건이 집중되어 있습니다. 코인베이스와 SEC 간의 소송도 여기서 시작되었습니다.

또한, 공개된 보도에 따르면, Coinbase는 2021년부터 "원격 우선" 회사로 전환했지만, 올해 샌프란시스코에 제안된 새로운 사무실이 설립되기 전에는 뉴욕의 One Madison이 미국에서 Coinbase의 가장 큰 사무실 공간이었으며, 11년 임대 계약을 맺었고 면적은 이전 사무실의 두 배였습니다.

이런 맥락에서, 비록 여러분이 다른 수만 명의 사용자들처럼 피해자라 할지라도, 여전히 "혼자" 뉴욕으로 가서 자비로 소송을 제기해야 합니다.

이 계약은 4월 11일에 업데이트되어 5월 15일에 발효되었는데, 이는 데이터 유출 사실이 공개된 시점과 거의 일치했습니다. 이처럼 "정확한 시점"에 맞춰 계약이 변경된다는 것은 "하늘이 어두워지고 비가 올 때까지 기다리다가 뽕나무를 파고 장작을 준비하는 것"과 같다고 할 수 있습니다. 비오는 날을 대비해 미리 대비하는 코인베이스의 통찰력은 제갈공명의 통찰력과도 같습니다.

이로 인해 기술 보안 연구원 몰리 화이트는 의심을 품었지만, 코인베이스 CEO 브라이언 암스트롱은 이것이 "음모론"이라고 답했습니다. 하지만 몰리 화이트는 "코인베이스가 SEC에 이 데이터 유출 사고를 공개하는 데 왜 한 달 넘게 걸렸나요? 상장 기업이 중대한 사이버 보안 사고를 발견하면 4영업일 이내에 공개해야 하잖아요."라고 추가로 질문했습니다. 브라이언 암스트롱은 그녀에게 더 이상 답하지 않았습니다.

동시에 블룸버그는 이 문제에 정통한 사람들의 말을 인용해 지난 5개월 동안 해커들이 Coinbase 고객 서비스 담당자에게 충분한 뇌물을 주어 사용자 정보에 "주문형 액세스"를 달성했다고 전했습니다. 수요일에도, 발표가 있기 며칠 전인데도 해커들은 여전히 데이터에 접근하고 있었습니다. 하지만 이러한 주장은 코인베이스의 최고 보안 책임자인 필립 마틴에 의해 반박되었습니다.

코인베이스의 현재 성명은 다음과 같습니다. "일부 직원이 데이터에 부적절하게 접근한 사실을 발견하고 관련 직원을 해고했지만, 당시에는 데이터 유출 사실을 알지 못했습니다. 5월 해커로부터 랜섬웨어 공격 이메일을 받기 전까지 문제의 심각성을 인지하지 못했습니다."

이러한 주장 중 얼마나 많은 부분이 자기 변명일까요? Coinbase가 프로토콜을 수정하고 집단 소송의 진입을 차단한 이후 5개월 동안 커뮤니티와 보안 연구원들이 보낸 얼마나 많은 알림, 질문, 경고에 "눈감았는지" 살펴보겠습니다.

Reddit에 Coinbase 포럼을 개설한 후, 1월부터 수많은 사용자들이 계정 도용 및 잦은 소셜 엔지니어링 사기를 신고했으며, 해외 사용자들도 피해를 보고 있습니다. "6개월 전부터 고객센터가 유령 서비스라고 생각했습니다. 업무 관련 문의 5건이 모두 급히 처리되었습니다. 아무도 연락을 주지 않았고, 무슨 일이 있었는지 설명해 주지도 않았습니다.", "방금 인출한 금액이 문자 메시지로 받은 금액과 비슷해서 거의 믿을 뻔했습니다.", "성함, 계좌 잔액, 마지막 로그인 기기까지 모두 확인이 가능하니 모든 게 너무 자연스럽고 사실적이네요..."

커뮤니티의 수많은 경고에도 불구하고, Coinbase는 삼체 세계의 "대답하지 마세요, 대답하지 마세요, 대답하지 마세요"라는 메시지를 철저히 지켰습니다.

Coinbase가 아시아인처럼 Reddit을 방문하지 않고 커뮤니티가 겪고 있는 일을 볼 수 없다고 변호하고 싶다면, 트위터의 유명 KOL과 보안 연구원들이 끊임없이 상기시키는 내용도 그들도 볼 수 있는 내용이어야 합니다.

트위터 팔로워가 86만 명에 달하는 암호화폐 세계에서 가장 강력한 탐정인 ZachXBT는 2월 초에 작년 말부터 올해 초까지만 해도 소셜 엔지니어링 공격으로 인해 6,500만 달러 이상이 도난당했다고 지적했습니다. 3월 말에 그는 다시 발언하여 지난 2주 동안 4,600만 달러가 더 도난당했다고 주장했습니다. 그는 Coinbase가 아무런 조치도 취하지 않는다고 여러 번 지적했습니다.

MetaMask의 보안 책임자이자 수석 온체인 조사관인 Taylor Monahan도 있는데, 그녀는 거의 매주 트위터에서 Coinbase를 공개적으로 비판하고 보안 및 지원 팀에 증거를 제공하려고 끊임없이 노력하지만 Coinbase의 "수석 조사 책임자"는 이미 2024년 말에 그녀를 차단했습니다.

테일러 모나한은 또한 Coinbase가 대량의 고객 서비스 업무를 인도의 제3자 서비스 제공업체인 TaskUs에 아웃소싱했다는 사실을 직접적으로 밝혔습니다. 코인베이스는 2025년 1월 11일 초에 "도난"과 "불법 운영"을 이유로 300명 이상의 인도 고객 서비스 직원을 대규모로 해고했습니다. 이후 사무실은 구르가온으로 이전되었지만, 내부 데이터 유출이 계속해서 빈번하게 발생하여 3월과 4월에 새로운 "해고" 물결이 일어났습니다.

Coinbase가 "5월 11일까지 몰랐다"고 밝힌 것에 대해 그녀는 비꼬는 투로 "이건 아주 '흥미로운' 쇼가 될 거야. 몸값 요구 이메일이 오기 전까지 아무것도 모르는 척하는 걸 봐."라고 말하며, "가장 그럴듯한 변명은 '중대한 유출이 아니니 공개할 필요가 없다'는 거야."라고 덧붙였다.

Coinbase 임원진이 부인하고 책임을 회피하며 차갑게 대처한 반면, 일부 Reddit 사용자와 피해자들이 자발적으로 "진이웨이"를 조직하고 사기꾼들의 단서를 찾아낸 것은 다소 아이러니하다.

Scammer-fight-back이라는 사용자와 그의 팀 전체가 사기꾼들과 맞섰습니다. 그들은 사기꾼에게 여러 번 전화를 걸고, 통화 내용을 녹음하고, 정보를 저장했습니다. 결국 그들은 사기꾼들을 추적했습니다. 그들 대부분은 영국 맨체스터 출신이었고, 같은 작은 사무실에서 일했습니다. 이들은 코인베이스 고객 서비스를 사칭하기 위해 현지 억양을 사용했고, 사기 행위를 저지르는 동안 정보를 얻었습니다.

또 다른 네티즌 dyfedavalon도 같은 의견을 밝혔습니다. "이 사기단은 영국에서 온 대규모 사기 조직으로, 규모와 범위가 크고 역량도 강력합니다.", "사기꾼들을 찾으려고 다시 전화해 봤는데, 같은 조직이었습니다. 사기 수법이 정말 능숙하네요.", "사기꾼들과 여러 번 통화했는데, 제가 피해자인 줄 알았는데, 영국인이라 영국식 억양을 듣고 놀릴 수 있었습니다. 나중에 다시 전화해서 괴롭히지 말라고 직접 부탁했습니다."

또한, 위에서 언급한 MetaMask의 보안 책임자인 Taylor Monahan의 조사 정보에 따르면, Coinbase가 아웃소싱한 인도 제3자 서비스 제공업체 TaskUs의 내부 직원들이 텔레그램을 통해 해커들에게 연락하여 건당 약 1만 달러의 수수료를 요구했습니다. 사용자 이메일 주소, 휴대전화 번호, 2FA 정보를 판매했습니다. 그 돈은 PayPal이나 은행 계좌를 통해 개인의 이름으로 직접 입금되었습니다.

이미지 출처: Taylor Monahan

누군가가 정보를 유출하기 위해 그렇게 큰 위험을 감수하려는 이유는 무엇일까요? 테일러는 "인디언 노예"로부터 유출된 추가 정보를 공유하면서 TaskUs의 실제 작업 환경을 직접 지적했습니다. 그들은 화장실을 사용할 수 없고, 식사 시간을 위해 싸워야 하며, 충분한 성과를 내지 못하면 경영진으로부터 집단적으로 차갑게 대우받습니다. 압박이 엄청나게 심해서 병가는 "결근"으로 기록되고 임금은 바로 공제됩니다. 그들은 훈련 속도를 따라가지 못했기 때문에 그 자리에서 해고당했습니다.

"제 경력 중 최악의 결정입니다. 인사팀은 전혀 편을 들어주지 않습니다. 아무리 울고불고 불평해도 아무도 신경 쓰지 않습니다. 결국 '교육비'를 보상해 달라고 해서 경력 증명서조차 받지 못했습니다."라고 한 직원이 글을 남겼습니다.

Coinbase 아웃소싱 회사 TaskUs의 전직 직원들의 불만, 이미지 출처: Taylor Monahan

Glassdoor와 Indeed 등 여러 플랫폼의 데이터에 따르면 Coinbase 현지 고객 서비스 직원의 연봉은 6만~7만 달러인 반면, 인도의 아웃소싱 고객 서비스 직원은 연봉 3,600~4,800달러에 불과합니다. 즉, 미국 고객 서비스 담당자 1명의 급여로 최소한 인도의 아웃소싱 고객 서비스 담당자 15명을 고용할 수 있다는 의미입니다.

300건의 아웃소싱 작업을 기준으로 Coinbase는 여기에서 연간 1,800만 달러를 절약할 수 있습니다. 여기에는 사무실 공간, 사회 보장, 초과 근무 수당, 기술 지원 등의 숨겨진 비용 절감은 포함되지 않습니다.

블룸버그 기자의 조사에 따르면, 코인베이스가 CEO 브라이언 암스트롱의 1년 개인 경호 비용으로 620만 달러를 지불했다는 점은 언급할 가치가 있습니다. 4억 달러 규모의 해킹 사건과 SEC의 사용자 데이터 조사에 대한 회사의 대응을 감독한 Coinbase 최고법무책임자(CLO) 폴 그리월은 작년에 총 820만 달러 이상의 보상을 받았습니다.

CEO의 연간 보안 비용과 최고법무책임자의 급여만 해도 Coinbase 플랫폼 사용자 전체의 보안 비용보다 많을 수 있습니다.

이번 사건으로 피해를 입은 이용자 중에는 유명인사도 다수 포함돼 있습니다. 블룸버그 보도에 따르면, 이 문제에 정통한 사람들은 Sequoia Capital의 관리 파트너인 로엘로프 보타가 피해자 중 한 명이었으며, 그에게서 도난당한 데이터에는 전화번호, 주소, 그리고 그의 Coinbase 프로필과 관련된 기타 민감한 계정 정보가 포함되어 있었다고 밝혔습니다.

그리고 20년 가까이 예술계에 몸담아 온 유명 예술가이자 제프 쿤스의 "풍선 개" 조각품과 같은 예술 작품 제작에 참여한 67세의 에드 수만은 올해 초 코인베이스 고객 서비스 사기에 걸려 200만 달러 이상의 암호화폐를 잃었습니다.

Coinbase는 또한 여러 건의 소송을 당했으며, 사용자들은 회사가 개인 데이터를 잘못 처리했다고 비난했습니다. 게다가 Coinbase의 관행은 규제 기관의 주목을 끌기도 했습니다. 예를 들어, 오리건 주 검찰총장실은 코인베이스를 상대로 소송을 제기하여 주 증권법을 위반했다고 주장하고 사용자 계약에 명시된 중재 및 집단 소송 포기 조항의 합법성에 이의를 제기했습니다. Elliptic 데이터에 따르면, 이 사고로 인한 보상 및 처리 비용은 4억 달러에 달했으며, 암호화 역사상 8번째로 큰 보안 사고로 기록되었습니다. 이 공격에는 "핫 월렛 해킹"과 같은 극적인 장면이나 "계약 취약성"과 같은 기술적 복잡성이 포함되지 않았습니다. 그 대신, 가장 기본적이고 매일 발생하며 간과되는 링크인 KYC 데이터에서 문제가 발생했습니다.

하지만 현실적으로 Coinbase가 너무 심하게 처벌받을 가능성은 낮습니다.

미국 법률에서는 실수로 데이터가 유출된 경우 엄중한 처벌을 내리는 선례가 없는 것으로 보입니다. 데이터 남용과 관련된 가장 유명한 소송은 Facebook입니다. Facebook은 "사용자 동의 없이는 사용자 데이터를 제3자와 공유하지 않는다"는 약속을 위반했기 때문입니다. 하지만 이는 Coinbase가 직면한 상황과는 약간 다릅니다.

코인베이스 사건은 데이터 접근 권한 남용과 부적절한 아웃소싱 관리로 인해 "내부자가 외부 해커에게 데이터를 유출"한 것에 더 가깝습니다. 이는 체계적인 개인정보 사기로 간주되어서는 안 되며, 손실도 제한적이었습니다. 코인베이스는 또한 보상을 지불하겠다고 밝혔다.

더 중요한 점은 Coinbase의 시장 가치가 600억 달러가 넘는 회사라는 것입니다. 또한 S&P 500 지수에 진입한 암호화폐 업계의 유일한 거래 플랫폼이기도 합니다. 풍부한 정책적 관계와 깊은 자본 자원을 보유하고 있습니다.

이번 미국 선거에서 Coinbase와 그 임원진은 공화당 후보자들에게 수천만 달러를 기부했으며, 여러 법안에 대한 로비 활동에서 중요한 역할을 한 것으로 알려져 있습니다. SEC가 코인베이스에 대한 소송을 철회한 것은 한때 코인베이스의 정치 기부금과 관련이 있다는 의혹을 받았습니다.

모든 것이 Coinbase가 이 폭풍을 극복할 것이라고 말하고 있습니다. 미래에도 Coinbase는 계속 좋은 성과를 낼 것이고, 심지어 더 좋아질 수도 있습니다.

BlockBeats 공식 커뮤니티에 참여하세요:

Telegram 구독 그룹：https://t.me/theblockbeats

Telegram 토론 그룹：https://t.me/BlockBeats_App

Twitter 공식 계정：https://twitter.com/BlockBeatsAsia