가짜 레저 업데이트 이메일에 속아… XRP 40만개 유출

XRP 보유자가 ‘레저(Ledger)’를 사칭한 피싱 이메일에 속아 하룻밤 사이 40만 XRP를 잃은 사례가 전해졌다. 단순한 하드웨어 지갑 업데이트처럼 보였지만, 실제로는 지갑 정보를 빼내기 위한 사기 수법이었다.

13일 크립토 자문가 조지 칼테키스(George Kaltekis)가 공유한 사연에 따르면, 피해자는 부활절 밤 가족과 시간을 보내던 중 오후 10시께 급한 전화를 했다. 이메일에는 장치 업데이트를 유도하는 안내가 담겨 있었고, 피해자는 이를 정상적인 절차로 착각해 클릭한 뒤 지갑 정보를 입력했다. 이후 공격자들이 자금을 빼내면서 약 40만 XRP가 한 번에 사라졌다.

칼테키스는 이 같은 피싱 수법이 최근 들어 점점 정교해지고 있다고 지적했다. 실제 보안 분야 종사자들조차 진짜 안내와 가짜 안내를 구분하는 데 어려움을 겪는 수준이라는 설명이다. 특히 하드웨어 지갑은 ‘안전하다’는 인식이 강하지만, 사용자가 직접 정보를 입력하는 순간 허점을 노출할 수 있다는 점이 다시 드러났다.

다만 피해자가 보관하던 나머지 5만 XRP는 별도의 ‘보험 보관 계정’에 있어 피해를 피했다. 이 계정은 거래 승인 전 콜백 확인과 음성 인증 등 추가 절차를 거치도록 설계돼 있었다.

칼테키스는 이번 사례가 셀프 커스터디(self-custody·개인 지갑 보관)의 필요성을 부정하는 것은 아니라고 선을 그었다. 다만 셀프 커스터디가 아무리 유용해도 고도화된 피싱까지 막아주지는 못한다는 점을 보여준다고 해석했다. 크립토 시장에서 비트코인(BTC), XRP 등 주요 자산 보유자들이 예상치 못한 ‘업데이트’ 요청을 다시 확인해야 하는 이유도 여기에 있다.

원달러 환율이 1달러당 1,466.80원 수준인 만큼, 이번처럼 대규모 토큰 유출은 달러 기준뿐 아니라 원화 가치로도 적지 않은 충격을 남긴다. 보안이 강점으로 꼽히는 하드웨어 지갑도 결국 사용자의 경계심이 뒷받침되지 않으면 무력해질 수 있다는 점이 이번 사건의 핵심으로 읽힌다.

---

기사요약 by TokenPost.ai 🔎 시장 해석 하드웨어 지갑조차 사용자 피싱에 취약하다는 점이 다시 확인되며, 크립토 시장 전반에서 ‘사용자 보안 리스크’가 핵심 변수로 부각되고 있다. 정교해진 이메일 사기 수법은 개인 투자자는 물론 전문가까지 혼동시킬 수준으로 발전하고 있어, 단순 보안 기술만으로는 자산 보호가 어렵다는 경고를 준다. 💡 전략 포인트 예상치 못한 ‘업데이트 요청’은 반드시 공식 웹사이트나 고객지원 채널을 통해 교차 확인해야 한다. 대규모 자산은 단일 지갑이 아닌 다중 승인(콜백·음성 인증 등) 구조로 분산 보관하는 것이 효과적이다. 하드웨어 지갑 사용 시에도 복구 문구 및 개인 키 입력 요청은 100% 피싱 가능성으로 간주해야 한다. 📘 용어정리 피싱: 신뢰할 수 있는 기관을 사칭해 개인정보나 자산 접근 정보를 탈취하는 사기 수법. 셀프 커스터디: 거래소가 아닌 개인이 직접 지갑과 자산을 관리하는 방식. 하드웨어 지갑: 인터넷과 분리된 물리적 장치를 사용해 암호화폐를 보관하는 보안 지갑. 멀티 인증(다중 승인): 출금이나 접근 시 두 가지 이상의 인증 절차를 요구하는 보안 방식.

💡 자주 묻는 질문 (FAQ)

Q. 하드웨어 지갑을 써도 이렇게 해킹당할 수 있나요? 네, 가능합니다. 하드웨어 지갑 자체가 뚫린 것이 아니라 사용자가 피싱 사이트에 속아 복구 문구나 지갑 정보를 입력하면 자산이 탈취될 수 있습니다. 즉, 기술이 아니라 사람을 노리는 공격입니다. Q. 이런 ‘업데이트 안내’ 이메일은 어떻게 구별하나요? 공식 도메인 여부 확인, 링크 클릭 대신 직접 사이트 접속, 개인 키·복구 문구 입력 요구 여부 등을 확인해야 합니다. 특히 지갑 정보 입력을 요구하는 업데이트는 거의 100% 피싱으로 보는 것이 안전합니다. Q. 피해를 줄이기 위한 가장 현실적인 방법은 무엇인가요? 자산을 여러 지갑으로 분산하고, 출금 시 추가 인증(콜백, 음성 확인 등)을 설정하는 것이 효과적입니다. 또한 예상치 못한 요청은 즉시 대응하지 말고 반드시 공식 경로로 재확인하는 습관이 중요합니다. TP AI 유의사항 TokenPost.ai 기반 언어 모델을 사용하여 기사를 요약했습니다. 본문의 주요 내용이 제외되거나 사실과 다를 수 있습니다.