AI 링크 오염, 암호화폐 보안 새 공격면 됐다

암호화폐 종사자가 AI 채팅창에서 받은 다운로드 링크를 따라갔다가 악성코드에 노출된 사례가 나오면서, AI가 건네는 링크와 파일을 실행 전 검증해야 한다는 경고가 커지고 있다.

비트코인닷컴 뉴스는 리파이 허브(ReFi Hub) 공동창업자 누마 루나(Numa Lunah)가 클로드(Claude) 채팅창에서 받은 다운로드 링크를 따라간 뒤 복제 사이트의 악성코드를 실행했다고 전했다. 해당 보도는 한국시간 30일 오전 4시35분 공개됐다.

루나는 민감정보가 빠져나가지는 않았다고 밝혔지만, 이 부분은 당사자 설명 외에는 독립 확인되지 않았다. 이번 사례의 핵심은 클로드 자체가 해킹됐다는 주장이 아니라, 신뢰된 AI 인터페이스가 악성 링크 전달 통로가 될 수 있다는 점이다.

루나는 백업을 복원하는 과정에서 클로드 코드용으로 보이는 'poisoned SKILL.md' 파일도 발견했다고 밝혔다. 그는 해당 파일 안에 AI가 로드될 때마다 악성코드를 다시 내려받고 자격증명을 훔치도록 하는 지시가 숨어 있었다고 주장했다.

마이크로소프트($MSFT) 보안연구팀은 2026년 2월 보고서에서 'AI 추천 오염'을 별도 공격 유형으로 설명했다. 연구팀은 클릭 한 번으로 AI 어시스턴트의 메모리와 추천을 오염시킬 수 있는 링크형 공격을 확인했고, 31개 기업과 14개 산업에서 50개 이상의 프롬프트 사례를 찾았다고 밝혔다.

마이크로소프트가 제시한 방식은 겉보기에는 정상 AI 서비스 주소처럼 보이는 링크에 프롬프트를 심는 구조다. 예컨대 코파일럿, 챗지피티, 클로드 새 채팅 주소에 질의값을 붙이면 사용자는 익숙한 도메인을 보고 링크를 열지만, 실제로는 AI 입력값이나 기억을 바꾸는 통로가 될 수 있다.

앤트로픽(Anthropic)도 클로드 도움말에서 스킬 사용의 주요 위험으로 프롬프트 인젝션과 데이터 유출을 꼽았다. 회사는 신뢰할 수 없는 출처의 스킬을 활성화하기 전에 파일 내용을 읽고, 외부 네트워크 연결을 지시하는 코드나 리소스를 확인하라고 안내한다.

프롬프트 인젝션은 외부 문서나 링크에 숨은 지시가 사용자의 명령처럼 처리되도록 AI를 속이는 방식이다. 스킬 파일은 단순 문서처럼 보여도 도구 호출, 파일 접근, 외부 연결과 맞물리면 실행 환경에 영향을 줄 수 있어 통상 공급망 보안의 일부로 다뤄야 한다.

앞선 보안 보고서도 같은 흐름을 보인다. 헌트레스(Huntress)는 2026년 7월 21~22일 최소 29개 조직이 실제 claude.ai 도메인에 올라간 악성 클로드 아티팩트를 거쳐 SectopRAT에 감염됐다고 발표했다.

헌트레스는 해당 링크가 제거 전까지 7100회의 페이지 조회를 기록했다고 밝혔다. 공격자는 사용자를 공격자 통제 도메인으로 보내 'ClaudeDesktop.exe'처럼 보이는 파일을 받게 만들었고, 실제로는 원격접속형 트로이목마 감염으로 이어졌다고 설명했다.

블리핑컴퓨터(BleepingComputer)는 2026년 5월 구글 광고와 클로드 공유 채팅이 결합된 맥OS 악성코드 유포 사례를 보도했다. 이용자는 클로드 맥 다운로드를 검색한 뒤 정상처럼 보이는 광고와 공유 채팅을 거쳐 터미널 명령을 실행하도록 유도됐다.

해당 악성 스크립트는 브라우저 자격증명, 쿠키, 맥OS 키체인 정보를 수집하는 구조로 설명됐다. 정상 도메인, 검색광고, 공유 채팅이 연쇄적으로 붙으면 사용자는 각 단계의 신뢰를 합쳐 전체 경로를 안전하다고 오판하기 쉽다.

암호화폐 업계에서 이 위험은 더 직접적이다. 종사자는 시드 문구, 거래소 API 키, 핫월렛 파일, 배포자 키처럼 한 번 유출되면 되돌리기 어려운 비밀값을 다룬다.

문제는 모델 답변의 정확도만이 아니라 AI가 읽고 실행하는 파일과 링크 전체로 넓어지고 있다. 본지도 앞서 AI 에이전트를 코드 저장소와 배포 시스템에 연결할 경우 작업 공간 격리와 권한 제한, 감사 로그, 사람의 승인 절차를 함께 설계해야 한다고 전했다.

암호화폐 프로젝트와 개발자 조직의 패키지 잠금 파일, 의존성 변경 이력, 키 관리 체계 점검 필요성도 이어지는 쟁점이다. 앞서 러스트 기반 기초 라이브러리에서 공급망 공격으로 로그인 정보와 키 유출 위험이 제기된 사례처럼, 공격 통로는 블록체인 자체보다 개발자 환경과 운영 단말에서 시작될 수 있다.

이번 사건은 'AI 답변을 믿을 수 있는가'보다 좁고 실무적인 질문을 남긴다. AI가 준 링크라도 공식 도메인을 직접 확인해야 하고, 터미널에 붙여넣는 명령과 스킬 파일은 실행 가능한 코드처럼 다뤄야 한다.