케이스톤, 2만6000명 고객정보·1만8835대 인증키 유출…180일 삭제 약속 무너졌다

- 지갑 인증키 1만8000대 이상 대량 유출, 데이터 관리 취약점 원인 밝혀져 - 고객정보 유출로 2차 사기 위험↑…업계 보유 기간 단축 등 긴급 대응 2026년 10월26일(현지시각) 크립토폴리탄(Cryptopolitan)에 따르면 케이스톤 하드웨어 월렛에서 약 2만6000여 명의 개인정보와 1만8835대 기기의 지갑 인증키가 대량 유출됐으며, 180일 자동 삭제 시스템 중단과 제3자 데이터 관리 취약점이 직접 원인으로 확인돼 업계는 긴급 대응책 시행에 나섰다. 26일(현지시각) 포크로그(ForkLog), 코인텔레그래프(Cointelegraph), 크립토폴리탄 등 외신과 케이스톤(Keystone) 공식 발표에 따르면 케이스톤 하드웨어 월렛 고객 약 2만5964명의 실명, 배송지 주소, 연락처, 구매 내역 등 정보와 1만8835대 기기에 해당하는 웹오스(WebAuth) 지갑 인증키가 외부 제3자를 통해 대량 유출된 것으로 드러났다. 사고 원인은 케이스톤 측의 ‘주문 후 180일 자동 데이터 삭제’ 시스템이 장기간 점검 중단 및 오류로 미이행된 점에서 비롯됐다. 또한 쇼피파이(Shopify)·물류사 등 파트너와의 관리 체계 허점이 반복적으로 통제되지 못해 취약점이 누적됐다. 케이스톤의 공식 발표에 따르면 자동 삭제 기능이 2024년 주문분을 포함해 오랜 기간 멈춰 있었다. 특히 전자상거래 파트너 쇼피파이나 물류 협력사의 데이터 관리 취약점을 통해 실명·주소 등 개인정보와 웹오스 인증키까지 다수 노출됐다. 웹오스 키는 생성 후 폐기하는 방식으로 자체 교체가 불가능하다. 따라서 케이스톤은 유출된 1만8835대 기기 전량을 공식 폐기하겠다고 밝혔다. 26일(현지시각) 케이스톤은 공식 발표를 통해 “지갑 시드, 개인키, 결제 정보(신용카드 번호 등)는 어떠한 방식으로도 유출되지 않았다”고 공식 확인했다. 그러나 유출된 개인정보를 기반으로 한 환불·교체 사칭 연락, 피싱, 주문정보 변경 등 2차 사기 위험이 크게 높아지면서 이용자 주의가 요구된다. 논란이 된 데이터 보관 정책과 관련해 고객 일부가 “2년 전 주문 정보까지 유출 통보를 받았다”고 밝혔다. 케이스톤 등은 “정기 점검에서 자동 삭제 중단을 파악하지 못한 책임이 있다”고 인정했다. 이에 따라 사고 직후 고객 정보 보유 기간을 180일에서 90일로 단축했다. 또한 유출 기기 전량 폐기 및 신규 주문 일시 중단, 사전예약 방식으로 전환 등 긴급 대응을 시행 중이다. 업계에서도 유사 사고가 잇따르자 대응책이 이어지고 있다. 하드웨어 월렛 경쟁사 원키(OneKey)의 창업자 왕이쉬는 별도 정보 유출은 없었다고 공식 발표했다. 다만 예방 차원에서 고객 데이터 보관 기간을 30일로 단축하고 보안 감사를 강화했다. 최근 유사 사고를 겪은 트레저(Trezor), 세이프팔(SafePal) 등도 보유 기간을 90일 내외로 단축했다. 아울러 주문 절차 비식별화, 익명 배송, 고객 안내 강화 등 보호 장치를 도입했다. 업계에서는 이번 사건을 계기로 “데이터 삭제 약속만으로는 실질적 정보 보호가 어렵고, 외부 파트너 통제 실패가 반복적인 사고를 유발한다”는 신뢰 이슈가 부각됐다. 따라서 고객도 주문 시 익명 주소, 임시 이메일을 사용하는 등 정보보호 수칙을 엄격히 지켜야 한다는 필요성이 커지고 있다. 또한 피싱 문자·메일을 경계하고, 지갑 복구코드 문의에는 대응하지 않아야 한다. 2026년 10월 말 기준 하드웨어 월렛 업계는 최근 연이은 보안 사고를 계기로 데이터 보유 기간 단축, 주문·배송 익명화, 제3자 보안 감사 등 정보 보호 체계를 전면적으로 강화하는 추세다.