레볼루트 데이터 유출: 여권 및 비트코인 기록 노출된 것으로 알려짐

2026년 9월 13일 읽는 시간 약 7분

레볼루트는 고객의 여권, 신분증, 금융 기록(비트코인 거래 내역 포함) 등 개인 정보가 정부 기관을 사칭한 제3자에게 유출된 사실을 확인했습니다. 이 핀테크 대기업은 합법적인 정부 이메일 도메인에서 발송된 사기성 요청을 원인으로 지목했으며, 이 사건은 개인정보 보호에 민감한 암호화폐 업계 전반에 걸쳐 파장을 일으키고 있습니다.

이 사건은 2026년 9월 12일, 레볼루트가 테크크런치에 정부 기관 이메일 주소로 위장한 사기성 요청을 받은 후 고객 정보를 유출했다고 확인하면서 드러났습니다. 방화벽이 뚫린 것도 아니고, 비밀번호가 해킹된 것도 아닙니다. 누군가 그럴듯하게 요청했을 뿐입니다.

레볼루트는 자사 시스템과 고객 자금에는 영향이 없었다고 밝혔습니다. 이 차이점은 중요합니다. 이번 사건은 데이터 유출이지 지갑 잔액 유출이 아니기 때문입니다. 레볼루트는 EURR 스테이블코인 출시를 포함하여 암호화폐 사업을 공격적으로 확장해 왔기 때문에 금융 기록 노출은 특히 곤란한 상황입니다.

보도된 레볼루트 데이터 유출 사건에서 드러난 것은 무엇인가?

테크크런치가 검토한 고객 통지서에는 생년월일, 우편 주소 및 이메일 주소, 전화번호, 여권 또는 운전면허증 사본 등 방대한 양의 개인 정보가 포함되어 있었습니다.

해당 공지에는 본인 확인을 위한 셀카 사진, 계좌 명세서 및 거래 내역이 포함되었을 가능성이 있다고 명시되어 있었습니다. 중요한 점은 이러한 항목들이 모든 고객에게 일괄적으로 노출된 것이 아니라, 영향을 받았을 가능성이 있는 항목으로 표시되었다는 것입니다.

비트코인 관련 내용은 디크립트(Decrypt)에서 나온 것으로, 해당 공지에는 IBAN 및 지갑 참조 번호, 출금 내역, 전체 거래 내역(비트코인 거래 포함) 등 금융 기록이 명시되어 있다고 보도했습니다. 하지만 이 구체적인 내용은 원문 공지와 대조하여 독립적으로 확인되지 않았습니다.

제한 사항을 명확히 말씀드리자면, 비트코인 자금, 개인 키, 비밀번호 또는 계정 접근 권한이 유출되었다는 증거는 없습니다. 유출된 정보는 누군가가 당신의 신원과 보유 자산을 파악할 수 있게 해주는 종류의 정보입니다.

가짜 정부 요청이 어떻게 문을 열었는가

핵심 주장은 단 하나의 메커니즘에 근거합니다. 바로 요청이 가짜였다는 것입니다. 레볼루트는 사기성 메시지가 합법적인 정부 기관 이메일 도메인에서 온 것처럼 보였기 때문에 믿을 만하다고 판단하여 조치를 취했다고 밝혔습니다.

그 외에는 상황이 의도적으로 불분명합니다. 레볼루트는 사칭한 기관, 관할 구역, 요청 경로, 그리고 자체 검증 절차가 해당 요구를 어떻게 처리했는지에 대해 밝히지 않았습니다. 따라서 이러한 절차적 세부 사항은 추측해서는 안 됩니다.

검증되지 않은 한 가지 이론은 유효한 도메인 인증 자격 증명이 Revolut이 요청을 처리한 이유를 설명한다는 것입니다. Decrypt는 이러한 가능성을 언급했지만, 이는 단지 확인되지 않은 보고서에 불과하며 이메일 헤더, 인증 결과 및 기술적 사후 분석은 공개되지 않았습니다.

다음은 유용한 맥락입니다. CISA의 BOD 18-01에서 설명하는 것처럼 SPF, DKIM, DMARC와 같은 이메일 인증 표준은 메시지가 실제로 해당 도메인에서 온 것인지 확인합니다. 하지만 이러한 검사를 통과하는 것만으로는 이메일의 발신지만 증명할 수 있습니다. 발신자가 고객 기록을 요구할 권리가 있는지 여부는 알 수 없습니다. 이 두 가지는 별개의 문제이며, 이를 혼동하는 것이 바로 사칭 사기가 성공하는 방식입니다.

Revolut 정보 공개에 대해 아직 알려지지 않은 것은 무엇인가?

레볼루트는 테크크런치와의 인터뷰에서 영향을 받은 고객은 소수에 불과하며 직접 연락을 취했다고 밝혔지만, 정확한 고객 수, 관련 정부 기관, 또는 피해가 특정 시장에만 국한되었는지 여부는 공개하지 않았다.

회사 측은 해당 이메일 주소를 차단하고 관련 정부 기관, 사법 당국 및 규제 기관에 알렸다고 밝혔습니다. 그러나 현재까지 관련 기관은 특정되지 않았으며, 규제 조사, 강제 조치 또는 벌금 부과 등의 조치도 이루어지지 않았습니다.

확인되지 않은 보도에 따르면, 온체인 조사관 ZachXBT는 해당 사건이 고액 자산가들을 표적으로 삼았다고 평가했으며, TechCrunch는 이를 그의 의견으로 인용했습니다. 하지만 최초 조사 게시물이나 표적 증거는 확보되지 않았으므로, 이는 단서일 뿐 확정적인 결론은 아닙니다.

잠재적 결과는 명백합니다. 여권과 자산이 잘못된 사람의 손에 넘어갈 수 있는 신분 도용 및 금융 정보 유출 위험이 발생할 수 있습니다. 이는 위험 요소일 뿐, 실제로 발생한 결과는 아닙니다. 이번 정보 유출과 관련된 사기, 자금 절도 또는 신체적 위해는 아직 확인되지 않았습니다.

암호화폐 사용자들에게 이번 유출 사건은 의무적인 신원 정보 수집에 대한 오랜 불만을 다시 불러일으켰습니다. 아베 찬 이니셔티브(Aave Chan Initiative)의 설립자인 마크 젤러는 자신의 데이터가 유출되었다고 밝히며, 이를 계기로 KYC 데이터 보존 관행을 강력히 비판했습니다.

때문에 제 개인 정보가 전부 유출된 걸 알고 잠에서 깼어요.

KYC(고객확인제도)가 의미 있는 이점을 가져오지 못했고 오히려 많은 사람들을 위험에 빠뜨렸다는 점을 다시 한번 상기시켜 드립니다.

— 마크 젤러 (@mzeller) 2026년 9월 12일

출처: X의 @mzeller

그의 견해는 날카로운 의견일 뿐, 법의학적 결론은 아닙니다. 하지만 이는 보관 및 정보 공개 위험에 대한 불안감이 이미 고조된 시장에 영향을 미치고 있으며, 이러한 불안감은 최근 블록스트림이 리퀴드 비트코인 해킹 사건에 대한 몸값 지불을 거부한 사례나 미국 증권거래 위원회(SEC)가 암호화폐 프레임워크 관련 회의를 연기했다는 보도와 같은 광범위한 규제 변화에서 다시금 드러납니다.

비트코인 자체는 거의 동요하지 않았습니다. 해당 자산은 77,338달러 부근에서 거래되었으며, 하루 동안 약 0.5% 하락했지만, 사건과 관련된 가격 반응은 나타나지 않았습니다. 이 이야기는 가격이 아니라 데이터에 관한 것입니다.

따라서 업계 전체에 다음과 같은 진정한 질문이 제기됩니다. 자원이 풍부한 핀테크 기업조차도 설득력 있는 이메일 하나만으로 여권과 거래 내역을 넘겨주도록 사회적으로 조작될 수 있다면, KYC 규정에 따라 모든 사람이 제출해야 하는 신원 정보를 누가 제대로 보호하고 있는 것일까요?

면책 조항: 본 글은 정보 제공 목적으로만 작성되었으며, 금융 또는 투자 자문으로 간주될 수 없습니다. 암호화폐 및 디지털 자산 시장은 상당한 위험을 수반합니다. 투자 결정을 내리기 전에 반드시 직접 조사하십시오.