키스톤(Keystone) Nexus 앱 공격, v1.3.7 보안 업데이트

2026년 11월 8일 읽는 시간 약 6분

암호화폐 하드웨어 지갑 제조사 키스톤(Keystone)이 모바일 지갑 서비스 넥서스(Nexus)에 대한 사이버 공격 사실을 공개하고 보안 업데이트를 배포했다. 일부 이용자는 공격 여파로 앱을 정상적으로 사용하지 못했으며, 회사는 서버 보안을 강화했다고 밝혔다.

키스톤은 11월 6일 공식 공지를 통해 현재까지 진행한 조사에서 이용자 자산이나 개인정보가 영향을 받았다는 증거는 발견되지 않았다고 설명했다. 다만 이는 회사의 중간 조사 결과로, 피해가 전혀 없었다는 최종 확인을 의미하지는 않는다.

이번 사건은 암호화폐 보안에서 개인키를 안전하게 보관하는 것과 지갑 서비스를 안정적으로 운영하는 것이 서로 다른 문제라는 점을 보여준다.

넥서스 앱 일부 서비스 중단, 공격 경로는 공개되지 않아

키스톤에 따르면 최근 넥서스 앱의 일부 서비스가 사이버 공격을 받았으며, 이 과정에서 이용자들이 일시적으로 앱을 정상 이용하지 못했다.

회사는 공격에 대응한 뒤 서버 보안을 강화했지만, 구체적인 공격 방식이나 침해된 시스템의 범위는 공개하지 않았다. 따라서 이번 사건을 개인키 탈취나 하드웨어 지갑 자체의 취약점으로 단정할 근거는 없다.

넥서스는 암호화폐 잔액 확인과 송금, 수신, 교환 등의 기능을 제공하는 모바일 지갑 앱이다.
하드웨어 지갑과 연동해 자산을 관리하는 과정에서 이용되는 소프트웨어이기도 하다.

이처럼 하드웨어 지갑이 개인키를 오프라인에 보관하더라도 연결 앱이나 관련 서비스에 장애가
발생하면 이용자의 거래 편의성과 서비스 접근성이 영향을 받을 수 있다.

개인키 보호와 앱 서버 보안은 별개의 영역

하드웨어 지갑은 거래에 필요한 개인키를 인터넷에 연결된 스마트폰이나 컴퓨터와 분리해 보관
하도록 설계된다. 키스톤 역시 QR코드를 활용하는 에어갭(Air-Gapped) 방식을 주요 보안 구조로
설명하고 있다.

이 방식에서는 거래에 서명하는 과정과 네트워크에 거래를 전달하는 과정이 분리된다. 개인키가
외부 서버로 전송되지 않도록 설계했다는 점에서 일반적인 온라인 지갑과 차이가 있다. 그러나 이러한 구조가 모바일 앱이나 서버의 모든 보안 위험을 없애는 것은 아니다.

예를 들어 앱이 정상적으로 작동하지 않으면 잔액 조회나 거래 준비 과정이 지연될 수 있다. 이용자가 장애를 해결하려고 비공식 앱을 설치하거나 피싱 사이트에 접속할 경우에는 별도의 보안 위험이 발생할 수 있다.

따라서 이번 사건의 핵심은 하드웨어 지갑의 개인키가 탈취됐다는 것이 아니라, 개인키 보호체계가 유지되더라도 연결 서비스의 보안과 가용성을 별도로 관리해야 한다는 점이다.

안드로이드 v1.3.7 배포, iOS는 별도 확인 필요

키스톤은 공격 이후 추가 보안 조치를 반영한 넥서스 앱 v1.3.7을 안내했다. 11월 6일 공식 공지
당시 안드로이드 버전은 구글 플레이를 통해 배포 중이었으며, iOS 버전은 앱스토어 심사를
기다리고 있었다. 이후 키스톤 공식 계정에는 iOS 업데이트가 공개됐다는 후속 안내도 게시됐다.

따라서 현재 이용자는 운영체제별 공식 앱스토어에서 실제 제공되는 최신 버전을 확인하는 것이
적절하다.

회사는 앱 설치 전 개발자명이 Yanssie HK Limited인지 확인하도록 당부했다. 업데이트를 사칭한 가짜 지갑 앱이 설치되면 정상적인 보안 조치가 오히려 새로운 피해 경로가 될 수 있기 때문이다.

특히 지갑 업데이트 과정에서 복구 문구를 입력하도록 요구하는 외부 웹사이트나 비공식 안내에는 주의해야 한다. 정상적인 보안 업데이트와 복구 문구 제출 요구는 구분해야 한다.

잇따른 보안 공지, 이용자가 확인해야 할 사항

이번 넥서스 앱 공격은 키스톤의 최근 보안 관련 공지가 이어지는 가운데 공개됐다. 앞서 키스톤
공식 웹사이트에 대한 무단 접근과 일부 고객정보 유출 문제가 보도된 바 있다.

다만 서로 다른 시점에 발생한 보안 사건이 동일한 공격자나 취약점에서 비롯됐다고 볼 근거는 확인되지 않았다. 사건을 하나의 대규모 침해로 묶어 해석하는 것은 신중해야 한다.

이용자 입장에서는 개별 사건의 원인을 추측하기보다 공식적으로 확인된 위험과 대응 조치를 구분하는 것이 중요하다.

확인 항목	권장 대응
넥서스 앱 버전	공식 앱스토어에서 최신 버전 확인
앱 개발자	Yanssie HK Limited 표기 확인
복구 문구	웹사이트·메신저·앱 안내창에 입력 금지
거래 서명	하드웨어 지갑 화면에서 주소와 금액 확인
서비스 장애	키스톤 공식 지원 안내 확인

특히 하드웨어 지갑 이용자는 스마트폰 화면에 표시된 거래 정보만 믿기보다 실제 서명 장치의 화면에서 수신 주소와 금액을 확인하는 습관이 필요하다.