리플의 최고기술책임자(CTO) 데이비드 슈워츠(David Schwartz)가 최근 하드웨어 지갑 사용자들을 겨냥한 피싱 공격 증가에 대해 강력한 경고를 내놨다. 그는 특히 가짜 펌웨어 업데이트나 계정 인증 절차로 위장한 이메일을 통해 시드 문구(seed phrase)를 유도하는 방식이 지금 가장 위협적인 수법이라고 강조했다. 이러한 공격은 단순히 리플(XRP) 보유자만의 문제가 아니라, 전체 암호화폐 이용자를 대상으로 한 사회공학적 해킹 기법이자, 암호화 자산의 취약점을 정조준한 공격이다.

슈워츠는 "피싱 메일의 대부분은 하드웨어 지갑 회사에서 보낸 것처럼 위장해 사용자에게 직접 시드 문구를 입력하도록 유도한다"며 “한 번 이 정보를 넘기면 자산은 추적할 수 없이 사라진다”고 경고했다. 실제로 암호화폐 시장이 침체기를 겪으며 많은 투자자들이 자신들의 자산을 스테이블코인으로 바꾸고 콜드월렛에 보관하면서, 하드웨어 지갑 사용자가 해커들의 주요 타깃으로 떠올랐다는 설명이다.

이 같은 패턴은 앞서 코인베이스(Coinbase)가 겪은 사건에서도 드러난다. 해당 거래소는 올해 초 자사 고객지원 직원들을 대상으로 한 사회공학적 공격으로 인해 약 4억 달러(약 5,560억 원)의 손실을 입은 바 있다. 이는 특정 기술 결함이나 블록체인 소스코드를 파고든 해킹이 아니라, 직원들의 판단력과 신뢰를 조작해 권한을 탈취한 전형적인 피싱 공격이었다.

슈워츠는 이번 경고에서 “진짜 약점은 기술이나 암호화 알고리즘 자체가 아니라, 사람 그리고 그들의 실수 가능성”이라고 잘라 말했다. 그는 "하드웨어 지갑의 보안은 시드 문구가 절대 외부로 빠져나가지 않는 것에 달려 있다"며, 어떤 이유로도 지갑 외부 UI나 웹폼에 시드 문구를 입력해서는 안 된다고 강조했다.

최근 피싱 공격 기법은 점점 정교해지고 있다. 정교하게 복제된 마이페이지, AI 음성 통화 기반 전화 안내, 실제와 유사한 도메인 등을 통해 사용자들을 속이며, 일부 경우 공격자는 이미 피해자의 IP 주소와 거래 히스토리까지 확보하고 있는 것으로 나타났다.

하드웨어 지갑은 여전히 디지털 자산 보안의 최후 방어선이지만, 사용자의 실수 한 번이면 그 벽도 무용지물이다. 슈워츠의 경고처럼 암호화폐 세계에서 가장 위험한 변수는 기술이 아닌 '사람'이다. 투자자들은 무엇보다 자신의 시드를 비롯한 민감 정보를 어디에도 입력하지 않는 것을 가장 중요한 보안 원칙으로 삼아야 할 시점이다.