Revolut이 일부 고객의 민감한 데이터, 비트코인 거래 내역 전체 포함, 을 권한 없는 제3자에게 넘겼다는 사실이 공식 확인됐다. 핀테크 기업이 합법적인 정부기관 요청처럼 보이는 문서에 응답한 결과였다. 이 사건을 일반적인 해킹과 구분 짓는 핵심은 바로 이 지점이다. Revolut의 비트코인 데이터 유출은 서버 침해도. 비밀번호 탈취도 없이 일어났다. 데이터는 합법적인 요청으로 착각한 직원들에 의해 정면으로 제공됐다.
이 사건이 주목받는 이유는 시스템 보안이나 고객 자산의 문제가 아니기 때문이다. 두 가지 모두 손상되지 않은 채 남았다. 문제는 훨씬 더 미묘한 곳에 있었다. 요청자가 정말로 본인이 주장하는 기관인지 확인하는 과정, 즉 신원 검증의 실패였다. 어떤 일이 어떻게 벌어졌는지, 그리고 왜 이 사건이 사회공학 공격의 교과서적 사례로 꼽히는지 살펴본다.
정확히 무슨 일이 있었나
Revolut이 공식 발표한 내용에 따르면. 해당 회사는 실제 정부기관의 진짜 도메인 인프라 내에서 운영되던 이메일 계정으로부터 정보 요청을 받았다. 실제 주소와 비슷하게 꾸민 가짜 주소가 아니었다. 기술적으로 해당 도메인에서 발신된 이메일이었기 때문에 통상적인 이메일 인증 검사를 통과했다.
Revolut은 Reuters 보도를 통해 이 사건을 “정교한 외부 사칭 사기”로 규정하면서, 피해 고객 수는 제한적이라고 밝혔다. 그러나 피해 고객의 정확한 수와 사칭에 이용된 기관명은 공개하지 않았다. 이는 다른 기업들이 자체 시스템에서 유사한 요청을 쉽게 찾아낼 수 없도록 하기 위한 의도적 선택이다. 이상을 발견한 이후, 회사는 자체 내부 시스템에서 해당 이메일 주소를 차단하고, 실제 정부기관과 수사기관, 금융감독원(FSS), 개인정보보호 당국에 각각 신고했다.
어떤 데이터가 유출됐나
피해 고객에게 발송된 공지에 따르면. 권한 없는 제3자에게 공유됐을 가능성이 있는 정보에는 신분증 서류. 거주지 주소, 연락처, 계좌 명세서, 국제 은행 계좌 정보, 출금 기록, 비트코인을 포함한 거래 내역 전체가 포함된다. 셀피 인증 및 생체 정보에 관해서는 정보가 엇갈린다. 일부 보도에서는 유출 항목에 포함된다고 했지만, Revolut의 공식 고객 통지에서는 얼굴 생체 데이터는 포함되지 않았다고 명시한 것으로 알려졌다. 더 명확한 정보가 나올 때까지 신중하게 판단할 필요가 있다.
블록체인 거래 분석 전문가로 업계에서 폭넓게 알려진 한 연구자는, 이번 사건이 특히 고액 자산 보유 고객을 겨냥한 것으로 보인다고 지적했다. 이 우려는 단순한 디지털 프라이버시를 넘어선다. 실명 신원, 거주 주소, 암호화폐 보유 상세 내역이 결합된 정보는 업계에서 “렌치 공격”이라고 불리는 물리적 위협, 즉 거액의 암호화폐를 보유한 것으로 알려진 인물을 표적으로 하는 물리적 폭력에 직접 활용될 수 있기 때문이다. 공개적으로 피해 사실을 확인한 인물 중에는 역사적인 암호화폐 거래소의 전 최고경영자도 포함돼 있다. 해당 거래소는 현재 극적인 파산 사례로 더 잘 알려진 곳이다.
Revolut 사건 요약
알려진 사실. 출처: Revolut, Reuters, 2026
- 해킹 아님: 시스템 침해 없음. 합법적 기관으로 오인한 대상에게 데이터가 제공됨.
- 유출 항목: 신분증, 주소, 국제 은행 계좌 정보, 비트코인 포함 거래 내역 전체.
- 위험: 실명과 암호화폐 내역의 결합은 표적형 피싱 및 물리적 공격으로 이어질 수 있음.
단독 사건이 아니다
사실, 이 사건을 더욱 주목하게 만드는 맥락이 있다. Revolut 사건 불과 사흘 전, 주요 하드웨어 암호화폐 지갑 제조사가 성격상 유사한 사건을 공개적으로 인정했다. 공식 커뮤니케이션 발송에 사용하던 계정이 침해돼 수십만 명의 구독자에게 가짜 보안 경고가 발송된 것이다. 이는 SpazioCrypto가 BitBox와 Trezor 사용자를 노린 피싱 이메일 분석에서 다룬 것과 정확히 같은 수법이다.
두 사건은 세부 내용이 다르지만, 공통된 본질을 공유한다. 어느 경우에도 암호화 기술 자체가 뚫린 것이 아니라, 사용자나 기업이 당연히 안전하다고 여겼던 기존 신뢰 채널이 악용된 것이다. Liquid Network의 의심스러운 peg-out 사건이나 Cosmos 생태계 6개 블록체인을 강타한 익스플로잇에서도 확인했듯이, 근본적인 암호화 알고리즘이 무너지는 경우는 거의 없다. 결국 취약한 고리는 그 주변을 감싸는 인적, 조직적 프로세스다.
Trezor TeamSharing insights on crypto, security & self-custody
피해가 의심된다면 지금 해야 할 것
Revolut를 사용하면서 이번 사건에 연루되었을 가능성이 걱정된다면, 가장 먼저 공식 앱이나 공식 웹사이트를 통해 직접 확인해야 한다. 이메일로 수신된 링크는 절대 클릭하지 말 것. 보안 사고 직후에는 사기꾼들이 혼란을 틈타 위장 메일을 대량 발송하는 경우가 빈번하기 때문이다.
상당량의 암호화폐를 보유하고 있고. 본인의 신원 정보가 디지털 자산과 연결된 채 유출되었을 수 있다면 물리적, 디지털 양면의 보안에 즉시 주의를 기울여야 한다. 실제 개인정보를 활용해 신뢰감을 위장한 통신에 특히 경계하고, 한번 유출된 정보는 “회수”가 불가능하다는 점을 명심해야 한다. 올바른 자산 보관 방식에 대해서는 당사의 암호화폐 보호 가이드를 참고하길 권한다.
이 사건이 던지는 더 큰 질문
Revolut 사건은 단순한 개별 해프닝을 넘어 불편하지만 중요한 현실을 드러낸다. 실명으로 인증된 신원이 암호화폐 보유 내역의 상세한 기록과 함께 무단 제3자에게 노출될 경우. 그 위험은 일반적인 정보보안 문제를 훌쩍 넘어선다. 크립토 업계가 오래전부터 잘 알고 있는 물리적 신변 안전 문제로 이어지며, 코드 취약점이나 해킹에 대한 우려와 겹쳐진다.
이 사건에서 얻어야 할 교훈은 두 가지다. 첫째, 고객 신원 확인 요건은 규제 준수를 위해 불가피하지만 현실적인 트레이드오프를 수반한다. 수집되고 금융 활동과 연결되는 신원 데이터가 많아질수록, 그 데이터가 잘못된 손에 들어갔을 때의 잠재적 피해도 커진다. 둘째, 며칠 간격으로 서로 다른 기업을 겨냥해 연달아 발생한 이런 사건들은, 전통 금융이든 크립토든 모든 금융 사업자가 기술적 방어뿐 아니라 권한 있는 기관을 사칭한 요청을 검증하는 인적 프로세스를 한층 강화해야 한다는 점을 촉구한다. 보안은 코드와 암호화의 문제인 동시에, 결국 사람과 절차의 문제다.
