2000만 달러 협박에 2000만 달러 현상금으로 맞선 코인베이스의 반격

협박 이메일 도착: 2000만 달러를 내지 않으면 공개하겠다

2025년 5월 11일, 코인베이스는 고객 계정 정보와 내부 문서를 보유했다고 주장하는 미상의 위협 행위자로부터 금전 요구 이메일을 받았습니다. SEC에 제출된 Form 8-K에 따르면 회사는 이를 비공개 대가 갈취 시도로 보고 신빙성이 있다고 판단했습니다.^[1]

데이터는 시스템 침해가 아닌 정당한 접근 권한을 가진 인력을 통해 유출되었습니다. 코인베이스는 공격자가 미국 외 지원 인력들을 매수해 직무상 접근 가능한 내부 시스템에서 정보를 복사하게 한 것으로 파악했습니다. 자체 보안 모니터링이 수개월 전 이를 독립 탐지해 연루자를 즉각 해고하고 피해 우려 고객에게 경고했습니다.^[1]

범죄자들은 해외의 우리 고객 지원 담당자들을 표적으로 삼았습니다. 그들은 현금을 제공하며 소수의 내부자를 매수해 고객 지원 도구에 있던 월간 거래 이용자의 1% 미만에 해당하는 데이터를 복사하도록 만들었습니다.^[3][4]

— 코인베이스 공식 블로그 (The Record 인용)

코인베이스는 이전 무단 접근들이 데이터 탈취를 노린 단일 공격 작전이었다고 결론지었습니다. The Hacker News가 전한 메인주 공시에 따르면 2024년 12월 26일 시작돼 69,461명이 영향을 받았으며, 블룸버그는 1월부터 이상 징후가 관측되었다고 전했습니다.^[1][4]

무엇이 유출되었고, 코인베이스가 안전하다고 밝힌 것은 무엇인가

피해는 시스템 파괴가 아닌 개인정보에 집중되었습니다. 코인베이스 공시에 따르면 유출 항목은 이름, 연락처, 마스킹된 주민등록번호(마지막 4자리) 및 계좌번호, 신분증 사본, 잔액·거래 내역, 지원 인력용 제한적 내부 문서였습니다.^[1][2]

비밀번호, 개인키, 고객 자금은 일절 노출되지 않았으며 코인베이스 프라임(Coinbase Prime) 계정은 전혀 영향을 받지 않았습니다.^[4]

— 코인베이스 (The Hacker News 인용)

코인베이스는 무엇이 안전한지를 거듭 확인했습니다. 캘리포니아 법무장관실 통지문에서 비밀번호, 시드 구문, 개인키 및 자금 접근 정보는 유출되지 않았고 프라임 계정도 무사하다고 밝혔습니다. The Record가 전한 성명에서도 로그인 자격증명, 2차 인증, 지갑 접근 권한은 탈취되지 않았음이 명시되었습니다.^[2][3]

자금을 직접 뺄 수 없는 데이터를 노린 이유는 사회공학적 사기 때문입니다. 통지문에 따르면 공격자들은 회사를 사칭해 피해자가 스스로 자금을 이체하도록 속이려 했습니다. 8-K 공시는 매수된 인력이 고객 자금에 접근한 적은 결코 없었으며, 손실은 지갑 침해가 아닌 속임수에서 발생한다고 강조했습니다.^[2][1]

피해 규모는 코인베이스 설명상 월간 거래 이용자(MTU)의 1% 미만이었습니다. The Record는 The Block의 2025년 1분기 MTU(약 970만 명)를 근거로 피해자가 10만 명 미만일 가능성이 크다고 계산했습니다. 별도로 The Hacker News는 메인주 공시에 69,461명이 기재됐다고 보도했습니다. 포춘에 따르면 매수된 상담원은 인도 근무 인력으로 전원 해고되었습니다.^[3][4]

“우리는 거부했다”: 협박 거부에서 시작된 공개 수배전

협박 이메일은 조용한 지불이냐 공개 수배냐의 선택을 요구했습니다. 고객 통지문에 따르면 내부자 해고와 보안 강화 직후 제3자가 나타나 2000만 달러를 갈취하려 했습니다. 코인베이스는 Form 8-K를 통해 단호한 거부 결정을 기록했습니다.^[1][2]

회사는 위협 행위자의 요구에 응해 대가를 지급하지 않았으며, 본 사건에 대한 사법 당국의 수사에 적극 협조하고 있습니다.^[1]

— 코인베이스 글로벌 Form 8-K 공시 (2025년 5월 14일)

이어 2000만 달러의 요구를 동일한 금액의 반격으로 바꿨습니다. 코인베이스는 몸값을 지불하는 대신 공격자 체포 및 유죄 판결로 이어지는 제보에 2000만 달러의 현상금을 내걸고 전용 제보 창구([email protected])를 개설했습니다.^[2][3]

이 공격자들은 비즈니스 프로세스 아웃소싱이나 지원 업무 등에 종사하는 인도 소재의 코인베이스 직원 및 외주 인력을 찾아낸 뒤, 이들을 매수하여 고객 데이터를 확보하는 수법을 썼습니다.^[4]

— 필립 마틴(Philip Martin) 코인베이스 최고보안책임자(CSO) (The Hacker News 인용)

수배전은 다방면으로 전개되었습니다. 코인베이스는 연루자를 즉시 해고해 미국 및 국제 사법기관에 회부하고 형사 고발을 추진했으며, 업계 파트너들과 공격자 주소를 태깅해 자산 추적에 나섰다고 밝혔습니다. 공격자 측은 5개월간 사실상 온디맨드 접근권을 가졌다고 주장했지만 코인베이스는 이를 부인했습니다.^[4][2]

청구서의 무게: 1억 8000만 달러에서 4억 달러의 잠정 비용

거부의 대가로 코인베이스는 1억 8000만~4억 달러의 잠정 수습 및 자발적 보상 비용을 공시했습니다. 회사 측은 향후 조사와 구상권 행사 등에 따라 변동될 수 있는 예비 추정치라 설명하며 모든 법적 조치를 적극 추진하겠다고 밝혔습니다.^[1]

수습안에는 사건으로 인해 속아서 공격자에게 자금을 송금한 적격 개인 고객에 대한 사실 확인 후 자발적 환급이 포함되었습니다. 통지문에 따르면 플래그된 계정에는 대규모 출금 시 추가 신원 확인과 사기 경고 팝업이 적용되었습니다.^[1][2]

근본 대책으로 미국 내 지원 허브를 신설하고 내부자 위협 탐지, 자동 대응, 모의 공격 훈련 투자를 늘렸습니다. 피해 고객에게는 100만 달러 보험이 포함된 IDX 신용 모니터링 1년 무료 서비스가 제공되었습니다.^[1][2]

4000만 달러의 메시지: 시장이 지켜본 신뢰의 가격

이번 결정은 코인베이스 주식이 S&P 500에 편입되고 시가총액이 약 670억 달러에 달했던 주에 발표되었습니다. 세계 최대 암호화폐 거래소 중 하나가 시장의 최대 주목 속에서 굴복 대신 공개 결전을 택한 것입니다.^[3]

코인베이스는 이를 신뢰의 문제로 규정했습니다. 통지문에서 “가상자산 채택은 신뢰에 달려 있다”며 고객에게 사과하는 한편, 직원을 사칭해 자금 이체를 압박하는 위장 공격자를 주의하라고 경고했습니다.^[2][3]

이번 사건은 데이터와 자금의 구분을 드러냈습니다. 데이터는 유출됐지만 코인베이스 설명상 자금은 침해되지 않았고, 핵심 위험은 지갑 탈취가 아닌 사칭이었습니다. 지원 도구 접근권은 핵심 보안 경계가 되었고, 코인베이스는 전화로 비밀번호, 2FA, 자금 이체를 결코 요구하지 않는다는 원칙을 남겼습니다.^[1][3][2]