레볼루트, 정부의 허위 요청 후 비트코인 거래 내역 공개

2026년 9월 14일 읽는 시간 약 7분

2026년 9월 11일과 12일에 유포된 미확인 보도에 따르면, 레볼루트(Revolut)가 가짜 정부 요청에 대응하여 고객 여권 정보와 비트코인 거래 내역을 공개했다고 합니다. 만약 이 내용이 사실로 확인된다면, 시스템 침입 없이 레볼루트 고객의 신원 기록과 온체인 금융 거래 내역이 노출되는 결과를 초래할 수 있으며, 이는 수탁 플랫폼이 사칭된 법 집행 기관의 요청에 대응할 때 비트코인 보유 사용자를 어떻게 보호하는지에 대한 의문을 제기합니다.

비트코인 보유자에게 있어 이번 사건의 의미는 매우 구체적입니다. 비트코인 지갑 식별자와 전체 거래 내역이 포함된 수탁 계좌 명세서는 온체인 활동의 익명성을 해제하는 데 사용될 수 있으며, 실제 신분증을 사용 가능한 UTXO와 연결하여 사후에도 신원을 확인할 수 있게 합니다. 이번 사건은 수탁 서비스의 편의성이 아닌, 자기 보관만이 제3자의 정보 공개 경로에서 사용자의 비트코인 거래 내역을 안전하게 보호할 수 있는 유일한 방법임을 다시 한번 상기시켜 줍니다.

알아두어야 할 사항

기사 제목에는 여권과 비트코인 거래 내역이 유출되었다고 나와 있습니다.
헤드라인은 해당 정보 공개가 가짜 정부 요청에 따른 것이라고 보도했습니다.

Revolut이 공개한 내용: 여권 및 비트코인 거래 내역

제목에 언급된 두 가지 데이터 유형은 여권과 비트코인 거래 내역입니다. 제공된 제목에는 “여권”이 전체 스캔본, 사본, 여권 번호 또는 다른 형식을 의미하는지 명시되어 있지 않으므로, 해당 세부 정보를 추론해서는 안 됩니다.

Revolut 고객 통지 내용을 설명하는 추가 보고서에는 관련된 것으로 추정되는 더 광범위한 신원 정보 목록이 나와 있습니다. 여기에는 성명, 생년월일, 직업, 우편 주소, 이메일 주소 및 전화번호가 포함됩니다. 같은 보고서에 따르면 여권이나 운전면허증과 같은 신분증 사본과 본인 확인을 위한 셀카 사진이 포함되었지만, 생체 인식 안면 원격 측정 데이터는 제외되었습니다.

보도된 기록에는 IBAN, 계좌 상태, 개설일, 비트코인 지갑 참조 번호가 포함된 계좌 명세서와 출금 내역, 비트코인 거래를 포함한 전체 거래 내역이 포함되어 있었습니다. 다른 언론 매체들도 이 사건을 KYC 데이터 및 비트코인 거래 내역 유출 사건으로 보도했지만, 해당 공지의 진위 여부는 독립적으로 확인되지 않았습니다.

입수 가능한 자료 어디에도 개인 키, 계정 자격 증명, 비밀번호 또는 고객 자금이 노출되거나 도난당했다는 징후는 없습니다. 보고된 범주는 자산 관리 기관이 보유한 기록을 설명하는 것이지 자산 자체에 대한 통제권을 나타내는 것은 아닙니다.

정보 공개의 배경에 숨겨진 가짜 정부 요청

헤드라인은 정보 공개를 촉발한 요청이 가짜였다고 설명합니다. 2차 보고서에 따르면, 공식 정부 기관 이메일 도메인을 사용하는 승인되지 않은 계정이 고객 정보를 요청했으며, 유효한 도메인 인증 자격 증명 때문에 Revolut은 해당 요청이 진짜라고 판단했다고 합니다.

레볼루트의 가짜 정부 요청 사건에 대한 구체적인 내용은 여전히 부족합니다. 공개된 자료에는 사칭된 기관, 요청자, 관할 구역, 그리고 요청을 처리한 내부 검증 절차에 대한 정보가 없으며, 이러한 공백을 추론으로 메워서는 안 됩니다. 플랫폼이 가짜 요청 사건에서 비트코인 활동을 어떻게 드러냈는지에 대한 보도 역시 제출 경로에 대한 자세한 설명이 부족합니다.

결정적으로, 보도된 사건은 시스템 침입으로 확정되지 않았으며, 기사 제목만으로는 법적 위반이 성립되지 않습니다. 영국 정보 감독관실(Information Commissioner’s Office)의 규제 지침에 따르면 개인정보 유출은 개인정보의 무단 공개 및 잘못된 수신자에게 개인정보를 전송하는 행위를 포함하므로, 해킹이 없더라도 해당 정의에 부합할 수 있습니다. 일부에서는 이 사건을 네트워크 침해보다는 사칭된 요청을 통해 데이터를 획득한 것으로 해석하고 있습니다.

레볼루트 정보 공개에 대해 아직 알려지지 않은 점은 무엇인가?

제공된 정보만으로는 피해 고객 수, 요청 및 공개 시점, 수신자 신원, 공개된 기록의 전체 범위 등을 알 수 없습니다. 보고서에 따르면 9월 11일 고객 알림은 온체인 조사관 ZachXBT가 담당했으며, 해당 알림에는 기관명, 요청 날짜, 피해 고객 수에 대한 구체적인 정보는 나와 있지 않습니다.

이번 사건이 규모가 제한적이었고 고액 자산가 고객을 대상으로 했다는 평가는 ZachXBT의 보도(확인되지 않음)에서 나온 것이며, 보도된 공지사항은 이를 뒷받침하지 않습니다. 특정 고객의 여권 사본과 비트코인 거래 내역이 모두 공개되었는지 여부 또한 확인되지 않았습니다. 나열된 항목들은 각 고객에 대해 어떤 기록이 존재했는지 명확히 규정하지 않습니다.

입수 가능한 자료에는 Revolut의 공식 입장이나 보도된 공지 외의 고객 통지 세부 정보, 또는 피해 복구 정보가 포함되어 있지 않습니다. 특정 여권 기록과 특정 비트코인 거래 간의 연관성, 데이터 오용, 그리고 금전적 손실 발생 여부는 추정하기보다는 불확실한 것으로 간주해야 합니다. 관련 보도에서는 이 사건을 여권, 명세서 및 비트코인 기록 유출 사건으로 다루면서도 동일한 의문점들을 지적했습니다.

규제 환경은 이러한 격차가 존재하는 부분을 명확히 합니다. ICO 지침은 가능한 경우 인지 후 72시간 이내에 신고 대상 침해 사실을 통지하고, 권리와 자유에 대한 위험이 높은 경우에는 지체 없이 해당 개인에게 통지하도록 요구합니다. 또한, 제33조(4)항은 완전한 조사가 제때 완료될 수 없는 경우, 필요한 침해 정보를 단계적으로 제공하고 추가적인 지체를 허용합니다. 이 사건의 경우 적용 관할권, 인지 시점 및 통지 상태를 알 수 없으므로, 이 모든 것이 Revolut이 기한을 놓쳤거나 조사가 진행 중임을 입증하는 것은 아닙니다.

비트코인 네트워크 자체의 기본 원리는 수탁 기록 보관과는 무관합니다. 블록 발행은 다음 난이도 조정까지 약 10분 주기로 계속되며, 이번 사태에서 익명성 해제 위험은 전적으로 수탁 데이터에서 비롯된 것이지 기본 계층의 취약점에서 비롯된 것이 아닙니다. 자체 UTXO 프라이버시를 추적하는 보유자에게 중요한 교훈은 수탁자가 제공한 거래 내역은 일단 공개되면 수신자로부터 되찾을 수 없다는 것입니다.

면책 조항: 본 글은 정보 제공 목적으로만 작성되었으며, 금융 또는 투자 자문으로 간주될 수 없습니다. 암호화폐 및 디지털 자산 시장은 상당한 위험을 수반합니다. 투자 결정을 내리기 전에 반드시 직접 조사하십시오.