그노시스 페이 고객정보 유출, 카드 보안 비상

2026년 11월 8일 읽는 시간 약 11분

암호화폐 결제 서비스 그노시스 페이(Gnosis Pay)가 기존 소비자용 카드 시스템에서 발생한 보안 사고로 고객정보 일부가 외부에 노출됐다고 밝혔다. 고객 자금에는 피해가 발생하지 않았다는 것이 회사 측 설명이지만, 카드 결제정보와 암호화폐 지갑 주소가 연결될 수 있다는 점에서 개인정보 보호 문제가 제기되고 있다.

이번 사고는 단순한 카드정보 유출을 넘어 블록체인 기반 결제 서비스가 이용자의 신원과 금융정보를 어떻게 보호해야 하는지 보여주는 사례다. 특히 사고가 발생한 시스템은 오는 12월 20일 운영 종료가 예정돼 있어 기존 고객의 보안 관리와 서비스 전환 문제도 함께 주목받고 있다.

11월 3일 비인가 접근 탐지, 이틀 아닌 사흘 뒤 공개

그노시스 페이가 11월 6일 발표한 공식 공지에 따르면, 회사의 모니터링 시스템은 11월 3일 자체 브랜드 카드 서비스를 운영하는 시스템에서 비인가 접근을 탐지했다.

보안팀은 사고를 확인한 직후 대응에 착수했으며, 탐지 후 2시간 이내에 침해 확산을 차단하기 위한 조치를 시작했다. 이후 관련 보안 인증정보를 교체하고 침입에 이용된 취약점을 수정했다고 밝혔다.

사고 발생 사실은 11월 6일 공개됐다. 회사는 피해 고객들에게 개별 이메일을 발송해 각 계정에서 노출된 정보의 종류를 안내했으며, 관련 사업 파트너와 카드 발급사, 개인정보 보호 감독기관에도 사고 내용을 전달하고 있다고 설명했다.

다만 현재 공개된 공식 발표에는 공격자의 신원, 구체적인 침입 경로, 전체 피해 고객 수가 포함되지 않았다. 따라서 침해 규모가 어느 정도인지, 모든 관련 정보가 완전히 회수 불가능한 상태인지 등은 추가 확인이 필요하다.

카드번호와 지갑 주소 연결, 자금 탈취와 다른 위험

이번 사고에서 주목할 부분은 암호화폐 결제 서비스가 보유하는 정보의 특성이다.

일반적인 결제카드 사업자는 고객의 신원정보와 카드 사용내역을 관리한다. 반면 암호화폐 연동 카드는 서비스 구조에 따라 이용자의 블록체인 지갑 주소까지 계정정보와 연결할 수 있다.

이러한 정보가 함께 노출되면 공격자는 공개 블록체인에서 확인할 수 있는 거래기록을 특정 개인과 연결할 가능성이 생긴다.

실제로 암호화폐 포트폴리오 관리 서비스 Rotki의 설립자 레프테리스 카라페차스(Lefteris Karapetsas)는 자신의 피해 통지에 이름, 거주지 주소, 카드번호, 연결된 지갑 주소가 포함됐다고
공개했다.

다만 이는 개별 피해자의 사례이며, 모든 고객에게 동일한 정보가 노출됐다는 의미는 아니다.

블록체인 지갑 주소 자체는 비밀번호가 아니다. 주소를 알게 됐다고 해서 곧바로 자금을 인출할 수 있는 것은 아니다. 그러나 지갑 주소와 실제 신원이 연결되면 해당 주소의 공개 거래내역과 보유 자산을 분석하거나, 이를 이용한 표적 사기를 시도할 가능성이 커진다.

특히 장기간 같은 지갑을 사용하는 이용자는 과거 거래기록까지 연결될 수 있어 단순 카드 재발급만으로 개인정보 노출의 영향을 완전히 없애기 어렵다.

고객 자금은 안전하다는 발표, 피해가 없다는 뜻은 아니다

그노시스 페이는 이번 사고로 고객 자금이 영향을 받지 않았다고 밝혔다. 또한 외부 기업에 카드 인프라를 제공하는 별도의 화이트라벨 기업용 플랫폼은 침해되지 않았다고 설명했다.

이는 사고 범위가 기존 소비자용 카드 시스템으로 제한됐다는 회사 측 발표다.

그러나 자금 손실이 없다는 사실과 개인정보 유출 피해가 없다는 판단은 구분해야 한다.

개인정보는 한번 외부로 노출되면 공격자가 이를 복제하거나 다른 정보와 결합할 수 있다. 특히 암호화폐 이용자의 경우 거래소 계정, 개인 지갑, 결제카드가 서로 다른 보안체계로 운영되더라도 동일한 개인정보가 여러 서비스에서 활용될 수 있다.

따라서 이번 사고를 평가할 때는 직접적인 자산 탈취 여부뿐 아니라 유출정보를 이용한 2차 공격 가능성도 고려해야 한다.

현재까지 공개된 자료만으로는 이번 사고가 블록체인 자체의 취약점이나 스마트계약 오류에서 비롯됐다고 판단할 근거는 없다.

확인된 침해 대상은 카드 서비스를 지원하는 기존 운영 시스템이다. 이는 블록체인 네트워크의 보안과 이용자 정보를 보관하는 결제 인프라의 보안이 서로 다른 문제라는 점을 보여준다.

3D Secure 의무화, 카드 부정결제 차단에 집중

그노시스 페이는 사고 이후 온라인 카드 결제에 3D Secure 인증을 의무적으로 적용했다.

3D Secure는 온라인 카드 결제 과정에서 카드 소유자를 추가로 확인하는 인증체계다. 결제 환경과 카드 발급사의 정책에 따라 앱 승인이나 별도 인증 절차가 요구될 수 있다.

이번 조치는 유출된 카드정보가 부정결제에 사용될 위험을 줄이기 위한 대응으로 볼 수 있다.

다만 3D Secure가 모든 피해를 차단하는 것은 아니다. 이용자가 공격자의 가짜 결제 요청을 정상적인 인증으로 오인하거나, 피싱 사이트에 지갑 복구문구를 입력하는 상황까지 해결할 수는 없다.

특히 카드정보 유출과 지갑 접근권한 탈취는 공격 방식이 다르다. 카드 결제 보안이 강화됐더라도 암호화폐 지갑의 개인키와 복구문구는 별도로 보호해야 한다.

회사는 카드 사용내역과 지갑 활동에 대한 감시도 강화했으며, 이러한 추가 보안조치를 소비자용
카드 시스템이 종료되는 12월 20일까지 유지할 계획이다.

12월 20일 소비자용 카드 시스템 종료, 기업용 플랫폼은 유지

이번 보안 사고가 발생한 소비자용 카드 시스템은 사고 이전부터 2026년 12월 20일 운영 종료가
예정돼 있었다.

따라서 이번 유출 사고로 서비스 종료가 새롭게 결정된 것은 아니다.

그노시스 페이는 자체 브랜드 카드를 운영하는 소비자 대상 사업과 다른 기업의 카드 프로그램을
지원하는 기업용 인프라를 구분하고 있다.

회사의 발표에 따르면 이번 사고는 전자에 해당하며, 화이트라벨 카드 프로그램을 지원하는 기업용 플랫폼은 영향을 받지 않았다.

이러한 사업 구조는 암호화폐 결제 산업의 보안 위험을 분석할 때 중요한 구분이다.

같은 기업이 제공하는 서비스라도 카드 발급 주체, 고객정보 저장 위치, 인증 시스템, 결제 처리 구조에 따라 사고의 영향 범위가 달라질 수 있기 때문이다.

반대로 특정 사업부에서 사고가 발생했다고 해서 기업의 모든 서비스가 침해됐다고 확대 해석해서도 안 된다.

앞으로 확인해야 할 부분은 기존 소비자용 시스템이 종료되는 과정에서 고객정보가 어떻게 보관·
삭제되는지, 관련 기록에 대한 접근권한이 어떻게 관리되는 지다.

서비스 종료가 예정돼 있다는 사실만으로 이미 유출된 개인정보의 위험이 사라지는 것은 아니다.

암호화폐 결제 서비스의 보안, 지갑 밖에서 결정될 수도

이번 사고는 암호화폐 결제 산업에서 상대적으로 주목받지 못했던 보안 문제를 드러낸다.

블록체인 서비스의 안전성을 평가할 때는 스마트계약 감사, 개인키 관리, 온체인 거래 검증 등이
주요 기준으로 활용된다.

하지만 실제 카드 결제에는 이용자 신원확인, 결제 승인, 카드 발급, 거래정보 관리 등 블록체인 외부 시스템이 함께 사용된다.

이 과정에서 보관되는 개인정보와 결제정보는 블록체인 자체가 안전하더라도 별도의 침해 대상이 될 수 있다.

특히 지갑 주소와 고객 신원정보가 연결되는 시스템은 개인정보가 유출됐을 때 일반적인 금융정보 침해와 다른 영향을 초래할 수 있다.

공개 블록체인의 거래기록은 누구나 조회할 수 있고, 이미 기록된 거래를 임의로 삭제하기도 어렵다. 따라서 실제 신원과 지갑 주소의 연결정보가 유출되면 장기간 프라이버시 문제가 남을 가능성이 있다.

이는 암호화폐 결제 기업들이 자산 보관의 안전성뿐 아니라 고객정보의 수집 범위, 접근권한, 저장 기간, 외부 시스템과의 데이터 연계까지 관리해야 한다는 점을 시사한다.

피해 고객이 확인해야 할 사항

그노시스 페이는 피해 고객에게 개별 통지를 발송했다고 밝혔다. 이용자는 통지 내용에서 어떤 정보가 노출됐는지 확인할 필요가 있다.

특히 회사나 제휴 서비스를 사칭하는 이메일, 문자메시지, 전화에 주의해야 한다. 실제 카드번호 일부나 주소 등 정확한 개인정보가 포함돼 있더라도 발신자가 정상적인 사업자라는 보장은 없다.

카드 사용내역을 주기적으로 확인하고, 본인이 시작하지 않은 결제 인증 요청은 승인하지 않아야 한다.

또한 지갑 복구문구, 개인키, 카드 PIN 등은 고객지원 담당자를 사칭하는 상대에게도 제공해서는 안 된다.

공식 웹사이트나 기존에 설치한 앱을 직접 실행해 안내 내용을 확인하는 방식이 상대적으로 안전하다.

향후 관건은 피해 범위 공개와 개인정보 관리

그노시스 페이는 침해된 시스템의 보안 인증정보를 교체하고 취약점을 수정했으며, 유출정보의 악용 가능성을 감시하겠다고 밝혔다.

그러나 현재까지 공개된 정보만으로는 전체 피해 고객 수와 유출정보의 범위를 완전히 파악하기 어렵다.

향후에는 사고 원인과 영향 범위에 대한 추가 설명, 개인정보 보호기관의 대응, 서비스 종료 과정의 고객정보 관리가 주요 확인 대상이 될 전망이다.

이번 사건의 핵심은 고객 자금이 직접 탈취되지 않았다는 발표에만 있지 않다. 암호화폐 결제 서비스가 기존 금융 인프라와 결합하는 과정에서 이용자의 신원과 지갑정보를 얼마나 안전하게 분리하고 보호할 수 있는지가 더 중요한 문제로 남았다.

결제 서비스의 편의성이 높아질수록 블록체인 외부에 축적되는 고객정보의 보안 수준 역시 서비스 신뢰도를 결정하는 핵심 기준이 될 것으로 보인다.

자료 출처

Gnosis Pay, 2026년 11월 6일 공식 보안 사고 발표
https://gnosispay.com/blog/data-breach-legacy-system-gnosis-pay-branded-cards
CoinMarketCap Community, BH NEWS 원문
https://coinmarketcap.com/community/articles/6aee480738ef9b6c4ca43dcc/
CoinDesk, 2026년 11월 7일 피해 고객 공개 사례 보도
https://www.coindesk.com/business/2026/11/07/gnosis-pay-breach-exposes-card-numbers-home-addresses-and-linked-crypto-wallets

bymh7765