파이어폭스 가짜 지갑 확장 16개…복구 구문 노렸다

보안업체 소켓(Socket)이 래비 월렛과 OKX 월렛을 사칭해 지갑 복구 구문과 개인키를 노린 파이어폭스 확장 프로그램 16개를 확인했다. 모질라는 10월 5일 기준 해당 확장 프로그램의 배포를 중단했지만, 이미 복구 구문을 입력한 지갑은 별도 조치가 필요하다.

소켓은 분석 보고서에서 확장 프로그램 4개가 래비 월렛 화면을 복제했고, 12개는 OKX 월렛을 닮은 화면을 사용했다고 밝혔다. 소켓은 이들이 지갑을 가져오는 과정에 입력된 복구 구문을 공격자 측 서버로 전송하도록 설계됐다고 밝혔다. 소켓은 래비 월렛 복제본에 개인키를 탈취하는 기능도 포함됐다고 밝혔다.

복구 구문은 지갑을 복원하는 데 쓰이는 단어 조합이다. 소켓은 복구 구문이 노출된 경우 확장 프로그램을 삭제하거나 비밀번호를 바꾸는 것만으로는 위험을 해소할 수 없다고 설명했다. 소켓은 복구 구문이나 개인키를 입력한 이용자에게 안전한 기기에서 새 지갑을 만들고 자산을 옮기라고 권고했다.

16개 확장 프로그램이 모두 같은 방식으로 작동한 것은 아니다. 소켓은 OKX 월렛 사칭 프로그램 12개 가운데 1개가 배포된 상태에서 탈취 기능을 정상적으로 실행하지 못했다고 설명했다. 필요한 백그라운드 스크립트가 실행되도록 설정되지 않았고, 화면과 스크립트가 사용하는 메시지 이름도 달랐다. 소켓은 해당 프로그램 코드에서도 복구 구문 수집 기능과 전송 대상이 확인됐다고 밝혔다.

가짜 지갑은 이름이나 화면만으로 구별하기 어렵게 꾸며졌다. 래비 월렛 복제본에는 원래 지갑의 화면과 기능 상당 부분이 남아 있었고, OKX 월렛 사칭 프로그램에는 공식 도움말로 연결되는 기능도 포함됐다. 확장 프로그램 정보에는 데이터 수집 권한이 '없음'으로 표시됐지만, 소켓은 분석한 코드에 지갑 정보를 처리해 외부로 보내는 기능이 있었다고 밝혔다.

이번 발견은 소켓이 파이어폭스용 가짜 지갑 확장 프로그램 40개의 악성 기능을 확인한 앞선 조사에 이어졌다. 소켓은 두 조사에서 확인된 공격 수법과 서버 등의 유사성을 근거로 이번 16개가 앞선 공격 흐름의 연장이라고 평가했다. 프로그램 이름과 식별 정보는 바뀌었지만 지갑 화면과 탈취 코드 일부가 다시 사용됐다는 설명이다.

소켓은 파이어폭스에 설치된 확장 프로그램을 확인하고, 해당 프로그램에 복구 구문을 입력했다면 그 구문에서 파생된 계정도 노출된 것으로 취급하라고 권고했다. 여러 기기에서 파이어폭스를 동기화하는 이용자는 각 기기의 확장 프로그램 상태도 확인해야 한다. 배포 중단은 새 설치를 막는 조치이며, 이미 입력된 복구 구문의 위험은 별도로 처리해야 한다.