Coinbase, 긴급 루머 해명! 같은 날 4건의 유출, AI가 암호화 보안을 파괴하고 있나?

원문 작성자: Nicky, Foresight News

10월 28일, DelCrxpto 및 SlowMist 최고정보보안책임자(CISO) 23pds에 따르면 Coinbase에서 데이터 유출이 발생하여 해커가 7만 명 이상의 사용자 연락처 정보를 획득했으나, 비밀번호나 자금의 도난 여부는 아직 확인되지 않았다.

같은 날 Coinbase는 "데이터 유출은 발생하지 않았다"고 대응했다. 이에 따르면 분석 서비스 제공업체 Amplitude가 보안 사고를 겪어 일부 Coinbase 고객 연락처 데이터와 다른 Amplitude 고객의 데이터에 영향을 미쳤다. 팀은 Coinbase 시스템에 대한 무단 접근 증거를 발견하지 못했으며 고객 자금도 영향을 받지 않았고, 회사는 법적 의무에 따라 영향을 받은 고객과 규제 기관에 통지할 예정이다.

기사 작성 시점까지 Amplitude는 이 사건에 대해 아직 응답하지 않았다.

Amplitude는 누구인가?

Amplitude는 디지털 제품 분석 플랫폼을 제공하는 미국 상장사로, 본사는 샌프란시스코에 있으며 티커는 Nasdaq: AMPL이다. 기업이 웹과 앱에서 사용자 행동을 분석하도록 돕는 것이 사업으로, 실시간 인사이트, 세션 리플레이, A/B 테스트, 데이터 활성화 기능을 포함하며 SaaS 구독 모델을 채택하고 있다.

회사는 2011년 Spenser Skates와 Curtis Liu가 창업한 Sonalight에서 시작되었으며, 처음에는 음성을 문자로 변환하는 앱을 만들었고 2012년 겨울 Y Combinator에 입주했다. 효과적인 사용자 행동 분석 도구가 없어 두 사람이 직접 내부 분석 시스템을 구축했고, 이후 2014년 정식으로 제품 분석으로 전환하여 Amplitude 브랜드로 출시했다.

세 번째 공동 창업자 Jeffrey Wang은 같은 해 합류했으며, 이전 Palantir와 Sumo Logic에서의 경력이 회사의 대규모 데이터 처리 역량 구축에 도움을 주었다. Skates는 현재 CEO로 MIT 생물공학 학사 학위를 보유하고 있으며 MIT Battlecode 프로그래밍 대회에서 두 차례 우승했다.

Amplitude는 2021년 9월 나스닥에 직접 상장했으며, 2025 회계연도 매출은 약 3억 4300만 달러, 직원은 약 750~800명으로, 고객은 스타트업부터 포춘 100대 기업까지 걸쳐 있다. 주목할 점은 AMPL 주가가 6월 하순 6.6달러에서 상승하기 시작해 10월 23일 17.72달러로 연중 최고가를 기록했다는 것이다.

이번 사건과 관련하여 10월 28일까지 공개 정보에서 Amplitude의 공식 성명이나 상태 페이지 공지는 확인되지 않았다. 이전에도 회사가 플랫폼 자체의 대규모 데이터 유출 공개 기록은 없었다. 2026년 9월 SpotAngels 사건에서는 제3자가 도난당한 자격 증명을 사용하여 Amplitude에 저장된 일부 데이터에 접근했으나, SpotAngels는 Amplitude 플랫폼이 침해된 것이 아니라고 명확히 해명했다.

Amplitude는 금융 및 암호화폐 분야에서 명확한 고객 사례를 보유하고 있다. Ramp Network는 암호화폐 입출금 플랫폼으로 Amplitude의 분석, 실험, 세션 리플레이 기능을 깊이 활용하며, 주로 제품 분석과 사용자 여정 인사이트에 사용하고 핵심 자금 시스템에는 사용하지 않는다. Xapo Bank는 비트코인 은행 및 수탁 기관으로 Amplitude Analytics와 Feature Experimentation을 사용하여 계좌 개설 프로세스를 최적화하며, 역시 핵심 수탁 및 개인키 시스템과는 무관하다.

다른 금융 고객으로는 미국 핀테크 기업 Dave, Salt Bank, 그리고 일부 외환 및 파생상품 브로커가 있다. 이러한 고객에게 리스크는 주로 행동 분석 데이터와 일부 연락처 정보에 국한되며 거래, 잔액, 개인키와는 무관하다. 유출 후 주요 위협은 피싱, 사회공학, SIM 스와핑이며 직접적인 코인 탈취는 아니다.

Coinbase는 이번 사건이 다른 Amplitude 고객의 데이터에도 영향을 미쳤다고 밝혔으나, 현재 다른 구체적 회사를 공개적으로 지목하지 않았으며 Ramp Network, Xapo 등도 관련 성명을 발표하지 않았다. 영향을 받은 당사자들은 사용자에게 비공개로 통지하거나 여전히 영향 범위를 평가 중일 수 있다.

Coinbase는 이전에 더 심각한 보안 사건을 겪었다

이것은 Coinbase가 데이터 및 계정 보안 문제에 직면한 첫 번째 사례가 아니다.

가장 심각한 사건은 2025년에 발생했다. 공식 발표에 따르면 범죄자들이 해외 고객 서비스 상담원에게 뇌물을 주고 고객 지원 시스템에서 데이터를 복제했으며, 약 69461명의 사용자가 관련되었다. 유출 내용에는 이름, 주소, 전화번호, 이메일, 사회보장번호 뒤 4자리, 마스킹된 은행 정보, 정부 신분증 사진, 계정 잔액 스냅샷, 거래 내역이 포함되었으나 비밀번호와 개인키는 포함되지 않았다. 공격자는 주로 이 정보를 이용해 Coinbase 직원으로 위장하여 사용자가 직접 암호화폐를 전송하도록 유인했다.

Coinbase는 2000만 달러의 몸값 지불을 거부하고, 대신 동일 금액의 현상금을 설정하여 체포와 유죄 판결에 사용했으며, 관련 인력을 해고하고 외주 고객 서비스 업체와의 협력을 중단했고, 이 사건으로 코인 전송을 유인당한 리테일 사용자에게 자발적으로 배상했다. 회사의 2025년 2분기 실적 보고서는 고객 배상과 직접 법적 비용을 포함하여 관련 비용이 약 3억 700만 달러임을 확인했다.

더 이른 사건은 2021년 3월부터 5월까지 발생했다. 공격자는 피싱을 통해 이메일, 비밀번호, 전화번호를 획득하고 Coinbase SMS 계정 복구 프로세스의 취약점을 이용하여 2단계 인증을 우회했으며, 최소 6000개 계정의 자금이 이체되었다. Coinbase는 이후 취약점을 수정하고 사건 발생 시점의 가치로 도난 자금을 전액 배상했다.

두 사건의 공통점은 직접적 손실이 최종적으로 모두 플랫폼이 배상했다는 것이지만, 데이터가 일단 유출되면 이후 피싱과 사회공학에 사용될 리스크가 장기적으로 존재한다.

10월 28일 바이낸스 창업자 자오창펑(CZ)은 X 플랫폼에 글을 올려 당일 총 4건의 데이터 유출 사건이 보도되었으며, Coinbase 제3자 서비스 제공업체 Amplitude 외에도 한국 암호화폐 거래소 Bithumb, 그리고 한국 전통 금융기관 미래에셋과 대신증권이 관련되었다고 밝혔다.

CZ는 거래 플랫폼에서 유출된 이름, 이메일, 전화번호, 주소, 신분 증명서, 거래 기록 등의 정보가 피싱, SIM 카드 탈취, 사회공학 공격에 사용될 수 있다고 지적했다. 그의 조언은 계정 격리와 검증 방식에 집중되었다. 서로 다른 거래 플랫폼에 독립적인 이메일과 고강도 비밀번호를 설정하고, 하드웨어 보안 키, 패스키, 인증기를 우선 사용하며 SMS 2단계 인증 의존을 피하고, 출금 주소 화이트리스트와 피싱 방지 코드를 활성화해야 한다. 또한 계정 로그인 세션과 API 키 권한을 정기적으로 점검하고 고객 서비스 사칭 사기에 경계해야 한다.

그는 또한 유출된 거주지와 자산 보유 정보가 현실에서의 협박이나 강도 리스크를 유발할 수 있으므로 사용자는 개인 자산 상황을 공개하지 말아야 한다고 경고했다.

또한 여러 기관의 관찰에 따르면 AI의 고속 발전은 최근 보안 사건 빈발과 밀접하게 관련되어 있으며, 그 주요 역할은 완전히 새로운 공격 유형을 창출하는 것이 아니라 공격 문턱을 크게 낮추고 기존 수법의 규모화를 가속하는 것이다.

하버드 케네디 스쿨과 Bruce Schneier가 협력한 연구에 따르면 완전히 대형 모델로 자동화된 개인화 스피어 피싱의 클릭률은 약 54%로 인간 전문가와 동등하며, 일반 피싱의 약 12%보다 훨씬 높고 대규모 캠페인의 수익을 최대 약 50배까지 높일 수 있다. 마이크로소프트의 보고서도 유사한 클릭률 데이터를 제시했다. 딥페이크 음성과 영상은 이러한 리스크를 더욱 증폭시킨다.

취약점 악용의 속도도 빨라지고 있다. 마이크로소프트 보고서에 따르면 취약점이 공개에서 무기화되기까지의 중위 시간은 종종 24시간 미만이다. CrowdStrike 2026 글로벌 위협 보고서에 따르면 2025년 AI 기반 적대 행위는 89% 증가했으며, 사이버 범죄의 "돌파 시간"은 초기 접근에서 측면 이동까지 평균 29분으로 단축되었다. IBM 《데이터 유출 비용 보고서 2026》은 약 4분의 1의 악의적 유출이 AI와 관련되어 있으며 평균 비용이 더 높다고 지적했다.

Bruce Schneier는 AI의 이중 용도를 강조한다. AI는 피싱을 효율적으로 자동화할 수 있을 뿐만 아니라 높은 정확도로 피싱 의도를 식별하는 데도 사용될 수 있다. 그는 단기적으로 방어자가 일부 측면에서 더 많은 이점을 얻을 수 있다고 보지만, 이것은 지속적인 군비 경쟁이다. CrowdStrike, 마이크로소프트, IBM 등 기관의 판단은 일치한다. AI는 사회공학, 자격 증명 탈취, 취약점 악용 등 기존 전술을 최적화하고 있을 뿐 완전히 새로운 전선을 개척하는 것은 아니지만, 공격 속도와 규모의 향상이 방어 창구를 현저히 압축하고 있다.

암호화폐 업계에 있어 이 추세는 Coinbase 관련 사건과 높은 일치성을 보인다. 2021년 SMS 취약점은 피싱을 통한 자격 증명 획득에 의존했고, 2025년 내부 뇌물의 핵심은 사회공학을 통한 송금 유인이었으며, 이번 Amplitude 사건에서 노출된 이메일과 전화번호는 바로 피싱과 사회공학의 원료이다. AI는 이러한 공격을 더 개인화되고 다국어화되며 식별하기 어렵게 만들고, 동시에 비용을 낮추고 목표 범위를 확대한다. 공급망과 제3자 리스크도 AI로 가속화된 정찰과 악용으로 인해 더욱 증폭되고 있다.