키스톤 고객들은 이 하드웨어 지갑 업체가 삭제했다고 밝힌 개인정보가 유출됐다고 주장하고 있다. 이번 사건이 중요한 이유는 암호화폐 하드웨어 기업들이 프라이버시 약속을 실제로 지키는지를 시험하는 사안이기 때문이다. 지갑을 구매하기 위해 개인정보를 제공하는 모든 사람에게 신뢰의 문제가 걸려 있다.
실제로 무슨 일이 있었나
더블록(The Block)에 따르면 키스톤 고객들은 회사가 삭제했다고 밝힌 개인정보가 유출됐다고 주장하고 있다. 키스톤은 대부분의 경우 주문 후 180일이 지나면 고객 데이터를 삭제한다고 밝혀왔다. X(구 트위터) 이용자들은 이번 유출 사건을 근거로 들며, 정보가 명시된 삭제 기간을 넘겨서도 남아 있었다는 의혹을 공개적으로 제기하고 있다. 현재까지 확인된 자료만으로는 피해 고객 수, 유출 발생 시점, 유출된 데이터 항목이 구체적으로 무엇인지 알 수 없다. 검토된 자료 범위 내에서 키스톤은 해당 주장에 직접 대응하는 공식 입장을 내놓지 않았다.
사건의 배경
하드웨어 지갑 제조사들은 주문을 처리하기 위해 이름, 배송 주소, 주문 상세 정보 등을 일상적으로 수집한다. 키스톤과 같은 기업들은 더 이상 필요하지 않은 정보를 삭제하겠다는 약속을 바탕으로 고객 신뢰를 쌓아왔다. 키스톤이 내세운 180일 삭제 기한은 민감한 데이터가 노출된 상태로 남아 있는 기간을 제한하려는 취지였다. 더블록이 보도한 이번 유출 의혹은 바로 그 약속을 직접 시험대에 올린 셈이다. 삭제됐어야 할 데이터가 유출 사건에서 다시 등장했다면, 이는 정책이 지켜지지 않았거나 데이터가 명시된 기간을 넘어 백업본에 남아 있었음을 시사한다.
왜 중요한가
현재 키스톤 고객들 입장에서는 주문 상세 정보를 포함한 개인정보가 회사가 명시한 삭제 기간이 지난 뒤에도 여전히 위험에 노출돼 있는 것은 아닌지 의문이 제기된다. 180일 이전에 키스톤에서 기기를 구매한 이용자라면 실제로 어떤 정보가 삭제됐는지 직접 확인해보고 싶을 수 있다. 다른 하드웨어 지갑 제조사들에게 이번 사건은 공개한 데이터 보유 정책이 결국 검증의 대상이 된다는 점을 상기시킨다. 지갑이나 주문 시스템을 설계하는 개발자들은 고객과 연구자들이 마케팅 문구가 아니라 실제 증거를 토대로 삭제 약속을 검증하려 든다는 점을 염두에 둬야 한다.
더 큰 질문
기업이 정해진 기간 뒤 고객 데이터를 삭제하겠다고 약속했을 때, 그 삭제가 실제로 이뤄졌는지는 누가 검증하는가? 암호화폐 하드웨어 기업들도 준비금 증명(reserve attestation)처럼 데이터 삭제 정책에 대한 독립적인 감사를 받아야 할까, 아니면 고객들은 유출 사고가 그 틈을 드러낸 뒤에야 진실을 알게 될 수밖에 없는 것일까?
앞으로 지켜볼 점
검토된 자료 범위 내에서는 공식 대응이나 조사 일정이 아직 공개되지 않았다. 고객 주장에 대한 키스톤의 직접적인 답변, 그리고 독립 보안 연구자들이 유출 규모를 확인하는지 여부를 지켜볼 필요가 있다. 보너즈(Bonuz)는 이번 사안이 전개되는 과정에서 하드웨어 지갑 업체들의 데이터 처리 관행에 대한 업데이트를 계속 추적할 예정이다.
