개인키가 노출된 지갑은 앱을 바꿔도 그대로 — 케플러 소셜 로그인 계정 유출 안내

케플러 지갑에서 구글 로그인으로 만든 계정은 복구 문구 대신 Web3Auth가 생성한 16진수 형식의 개인키를 쓰며, 이 키는 비밀번호로 암호화돼 이용자 기기에 저장된다. 케플러는 소셜 로그인 계정 일부의 개인키 유출을 알리고 잔여 자산을 옮기도록 권고했다. 크립토슬레이트 보도에 따르면 케플러는 구글·애플 로그인 계정 일부에서 무단 거래 신고를 받았고 일부 개인키가 침해됐다고 안내했다. Web3Auth는 보안 사고를 이유로 로그인 서비스를 유지보수 상태로 돌렸고, 공지된 기간은 한국시간 11월 7일 오전 3시 30분부터 8일 오전 3시 30분까지였다.

여기서 갈리는 지점이 '복구'와 '교체'의 차이다. 개인키나 복구 문구를 다른 앱에 입력하면 같은 계정에 다시 접근할 수 있지만, 그 과정에서 키가 새 키로 바뀌는 것은 아니다. 앱에서 새 비밀번호를 설정해도 개인키는 그대로다. 즉 키가 이미 노출됐다면 앱을 옮겨 다시 로그인하는 방식으로는 위험이 사라지지 않는다. 케플러의 초기 안내는 해당 계정에 새 자금을 보내거나 다른 곳에서 기존 계정을 다시 가져오지 말라는 내용이었고, 후속 안내는 남아 있는 유동성 자산을 복구 문구 또는 하드웨어 지갑으로 만든 계정으로 옮기라는 내용이었다. 노출된 키가 통제하는 범위 밖으로 자산을 빼는 조치다.

이용자가 확인할 것은 세 가지다. 첫째, 자신의 케플러 계정이 소셜 로그인으로 만든 것인지, 복구 문구로 만든 것인지. 둘째, 개인키 확인에는 조건이 있어 지갑 확장 프로그램에서 계정을 선택하고 비밀번호를 입력해야 하며, 일부 오래된 계정에서는 확인 기능을 쓰지 못할 수 있다. 셋째, 화면의 잔액 변화만으로 상황을 판단하지 않는 것이다. 크립토슬레이트는 케플러의 자산 보호 조치로 일부 계정 잔액이 줄거나 비어 보일 수 있다고 전했다. 메타마스크 빌더 허브는 Web3Auth 임베디드 지갑 서비스 중단 뒤 초기 조사에서 메타마스크 이용자가 영향을 받았다는 증거를 찾지 못했다고 밝혔다. 게시판의 로그인 불편 댓글은 접속 문제에 대한 반응이며 개인키 노출을 뜻하지는 않는다.