디센트 앱 지갑 이상 신고…XRP 200만9321개 이동 분석 제시

디센트 앱 지갑에서 승인되지 않은 자산 이동 신고가 접수된 가운데 트레저 마케팅 수신자 이메일 34만7149건이 유출됐다. 두 사례는 하드웨어 지갑 자체가 침해되지 않아도 복구 문구와 외부 인프라가 노출되면 가상자산이 위험해질 수 있음을 보여준다.

디센트는 앱 지갑에서 승인되지 않은 자산 이동 신고가 처음 접수됐다고 밝혔다. 잠재적 영향 대상에는 복구 문구를 앱 지갑에 입력한 이력이 있거나 2025년 11월 5일 출시된 8.1.0 버전 이전 앱에서 거래를 서명한 지갑이 포함됐다.

점검 대상에는 비트코인(BTC)·이더리움(ETH)·리플(XRP)·트론(TRX)과 EVM 호환 네트워크를 이용한 지갑도 포함됐다. 하드웨어 지갑에서 생성한 복구 문구를 이후 앱 지갑에 입력했다면 같은 기준으로 확인해야 한다.

핵심은 하드웨어 지갑과 앱 지갑을 연결했는지가 아니라 복구 문구를 어디에 입력했는지다. 하드웨어 지갑을 앱에 연결하는 과정에서 복구 문구가 일반적으로 휴대전화로 전송되지는 않지만, 문구를 앱 지갑에 직접 입력하면 같은 비밀키가 소프트웨어 환경에 재현될 수 있다.

복구 문구가 노출되면 공격자는 하드웨어 기기 없이 다른 기기에서 지갑을 복원할 수 있다. 디센트는 이용자에게 공식 앱스토어를 통해 최신 버전으로 업데이트하고 새 복구 문구로 지갑을 만든 뒤 기존 주소의 자산을 옮기라고 안내했다.

기존 복구 문구를 새 지갑에 다시 입력하지 말고 코인뿐 아니라 토큰·NFT·스테이킹 자산·토큰 승인 내역도 점검해야 한다는 설명이다. 디센트는 기술적 원인과 전체 영향 범위를 조사하고 있다.

독립적인 온체인 분석에서는 9월 15일 1552개 XRP Ledger 지갑에서 총 200만9321 XRP가 이동한 정황이 제시됐다. XRPL.to는 블록체인 거래만으로 해당 키가 어떤 경로로 확보됐는지는 확인할 수 없으며, 디센트 앱 지갑과의 직접적인 인과관계도 입증되지 않았다고 밝혔다.

트레저 사례는 기기 밖의 고객 데이터가 피싱에 악용될 수 있음을 보여준다. 트레저는 외부 이메일 마케팅 업체 브레보의 보안 사고로 마케팅 수신자 이메일 34만7149건이 API를 통해 유출됐으며, 자사 제품과 지갑 계정 시스템은 침해되지 않았다고 밝혔다.

브레보는 SAML 기반 싱글사인온(SSO) 처리 결함으로 공격자가 138개 계정에 접근했다고 설명했다. 이 가운데 43개 계정에서 연락처가 반출됐고 6개 계정은 피싱 이메일 발송에 사용됐다.

브레보는 9월 10일 한국시간 오후 3시 30분 해당 경로를 차단하고 모든 활성 세션을 초기화했다. 공격자는 트레저의 합법적인 발송 인프라를 이용해 ‘Critical Security Alert: STM32 Entropy Vulnerability’라는 제목의 이메일을 보냈다.

이메일에 포함된 링크는 악성 애플리케이션 설치를 유도한 뒤 지갑 백업 정보 입력을 요구했다. 트레저는 악성 도메인을 약 20분 안에 차단했으며, 그 전에 링크에 접근한 수신자는 약 2500명이라고 밝혔다.

트레저는 기기에서 복구할 때를 제외하고 지갑 백업 정보를 입력하지 않았다면 자산은 안전하다고 안내했다. 반대로 피싱 페이지나 애플리케이션에 백업 정보를 입력했다면 새 복구 문구로 지갑을 만들고 자산을 옮겨야 한다고 밝혔다.

자기수탁은 개인키와 복구 문구를 이용자가 직접 관리하는 구조다. 지갑은 자산을 저장하는 금고라기보다 거래 승인에 필요한 서명 권한을 관리하는 도구에 가깝기 때문에 복구 문구와 연결 앱, 이용자 정보까지 보안 범위에 포함된다.

트레저 제3자 이메일 공급업체 사고와 복구 문구 입력을 유도한 피싱 사례는 앞선 본지 보도에서도 다뤄졌다. 이번 사례에서도 공격자는 보안칩이나 거래 서명 구조를 직접 깨기보다 이용자에게 신뢰할 만한 경고처럼 보이는 메시지를 보내 백업 정보를 요구했다.

국내 이용자도 공식 앱스토어와 공식 채널을 확인하고 복구 문구를 웹사이트·앱·이메일에 입력하지 않아야 한다. 디센트는 기술 분석과 영향 범위 조사를 계속하고 있으며, 브레보는 차단 조치와 세션 초기화를 완료했다.